Docker 中 expose 和 publish 有什么区别？
EXPOSE 是 Dockerfile 里的文档性声明（声明容器监听端口，不做实际映射）；publish（-p）是 docker run 时建立宿主机到容器的真实端口映射。声明 ≠ 开通，本文讲透两者关系。
一句话区别：EXPOSE 是 Dockerfile 里的声明**——"本镜像设计为监听这些端口"，纯文档作用，不开通任何网络通路；publish（docker run -p）是实际映射——把宿主机端口映射到容器端口，可达性仍取决于绑定地址、监听与网络策略。仅EXPOSE不会创建宿主端口映射，但直路由/host等网络模式可能仍可达；-p不依赖EXPOSE，实际连通还需监听和网络策略允许。**
EXPOSE：只起文档作用
FROM nginx
EXPOSE 80
- 不写任何 iptables 规则，不做映射
- 价值：告诉使用者这个镜像该发布哪个端口；
docker ps的 PORTS 列会显示 -P（大写）自动发布时，以 EXPOSE 的端口为清单
publish：真实建立映射
docker run -p 8080:80 nginx # 宿主 8080 → 容器 80
发布可由NAT、代理或平台转发实现，不保证总有独立用户态监听进程；绑定地址与tcp/udp协议需明确。不管镜像 EXPOSE 没 EXPOSE 80，这个映射都成立。
四种组合行为
| EXPOSE | -p | 结果 |
|---|---|---|
| ✅ | ✅ | 声明+映射，规范做法 |
| ✅ | ❌ | 只声明，不新增发布；直连能力依网络模式/路由 |
| ❌ | ✅ | 可发布，映射以 -p 为准，连通性仍需验证 |
| ✅ | -P | 80 映射到宿主随机端口 |
容器间通信不用 publish
同一 Docker 网络内容器互访走内部端口（容器真实监听口），与 -p 无关——publish 只解决"宿主机及外部世界 → 容器"这一个方向。
发布端口后，从实际客户端请求宿主机的发布端口，并核对返回的是目标服务。需要持续验证时，可在观测云 HTTP 拨测中配置这个完整 URL 和响应判断；EXPOSE 声明、容器内监听成功都不能替代外部访问测试。
常见问题（FAQ）
Q：EXPOSE 能提高安全性吗？
A：不能，它没有任何访问控制作用；安全边界靠 publish 的绑定地址（如 127.0.0.1:）与防火墙。
Q：docker ps 里 PORTS 列显示的和实际不一致？
A：PORTS 显示的是 EXPOSE + publish 的合并信息，以 docker port 容器名 的实际映射为准。
Q：compose 里的 expose 和 ports 对应吗？
A：对应：compose 的 expose ≈ Dockerfile EXPOSE（端口声明，不是访问控制），ports ≈ -p 发布。
