还在用虚拟机做开发环境？一张图看懂 Docker 为什么更香（2026 版）

云恒的编程笔记
0 阅读11分钟

这篇文章我们要一起搞懂容器技术到底解决了什么问题。接下来我们从"为什么需要容器"聊起，然后和虚拟机做个对比，再看看 2026 年容器运行时的格局，最后搞清 Docker 的三个核心概念。

虚拟机 vs 容器：两种隔离思路

在说容器之前，咱先聊聊它的"前辈"——虚拟机。理解了两者的区别，你就知道为什么容器这么火了。

虚拟机的架构

虚拟机通过 Hypervisor（虚拟机监控器）在物理机上虚拟出完整的硬件环境，然后在每个虚拟硬件上运行一个完整的操作系统（Guest OS）。你可以理解成"电脑里再装几台电脑"。 image.png 每个虚拟机都要跑一个完整的 Guest OS，光系统本身就要吃掉几百 MB 内存，启动还要等几分钟。

容器的架构

容器不需要虚拟化完整的硬件，也不需要每个容器都跑一个完整的操作系统。容器直接跑在宿主机内核上，通过 Linux 内核的 Namespace（隔离）和 CGroup（限制）机制实现资源隔离：

  • Namespace：让每个容器以为自己独占了系统——有自己的进程树、网络栈、文件系统挂载点
  • CGroup：限制每个容器能用的 CPU、内存、磁盘 IO，防止一个容器把宿主机资源吃光

image.png

关键区别

特性虚拟机容器
启动速度分钟级（要启动整个 OS）秒级（直接启动应用进程）
资源占用高（每个 VM 都要装 Guest OS）低（共享宿主机内核，只装应用本身）
隔离性强（硬件级别隔离）较强（进程级别隔离，共享内核）
镜像大小GB 级（含完整 OS）MB 级（只有应用和依赖）
移植性一般（镜像大，跨平台难）强（镜像小，跨平台秒级传输）
适用场景需要完整 OS、强隔离微服务、持续部署、快速迭代

简单来说：虚拟机像是买了整套家具自己装修，容器像是住酒店——拎包入住，走的时候也不用管家具怎么处理。

容器不是虚拟机的替代品：容器共享宿主机内核，所以无法在 Linux 宿主机上跑 Windows 容器（除非用虚拟化辅助）。需要完整 OS 隔离或运行不同内核的场景，虚拟机仍然是更好的选择。

容器技术是怎么发展到今天的

别看 Docker 现在这么火，它也是站在巨人的肩膀上发展起来的。了解这段历史，能帮你理解容器技术的本质——隔离和限制。

1979  chroot        → 隔离文件系统（"给你的进程一个假根目录"）
  ↓
2000  FreeBSD Jail  → 隔离进程 + 网络资源
  ↓
2008  LXC           → 第一个完善的 Linux 容器方案（但配置复杂）
  ↓
2013  Docker        → 镜像打包 + 一键运行，容器真正走向大众
  ↓
2015  OCI 标准      → 容器规范开放，不再被一家公司垄断
  ↓
2026  容器无处不在   → K8s + containerd 成生产标配，Wasm 成为补充

Docker 的核心创新不是"发明了容器"，而是做到了三件事：

  1. 镜像打包：把应用及所有依赖打成一个镜像，"Build once, Run anywhere"
  2. 极简体验：一条 docker run 命令就能启动容器，不像 LXC 要手写一堆配置
  3. 分层存储：镜像像 Git 提交一样一层一层叠加，多个镜像共享底层，节省空间

2015 年，Docker 公司将容器核心规范捐给了 CNCF，形成 OCI（Open Container Initiative） 开放标准。这意味着容器镜像格式和运行时有了统一规范，任何符合 OCI 标准的工具都能运行同样的容器——Docker 镜像可以在 Podman、containerd、nerdctl 上跑，不会绑定在一家公司手里。

Docker 三大核心概念

Docker 有三个核心概念，搞清楚了才能继续往下学。

镜像（Image）：应用的"安装包"

镜像是一个只读的模板，包含运行某个应用所需的一切：代码、运行时、系统库、环境变量、配置文件。

和传统"安装包"不同，Docker 镜像不仅包含程序本身，还包含程序运行所需的完整环境。你在 Ubuntu 上打包的镜像，拿到 CentOS 上照样跑——因为镜像自带了所有依赖，不依赖宿主机的系统环境。

镜像的重要特点：分层存储。就像 Git 的提交历史一样，Docker 镜像是一层一层叠加起来的。比如你的镜像基于 ubuntu:24.04，再叠加 Python 运行时，再叠加你的应用代码。多个镜像共享底层的基础层，大大节省存储空间和传输时间。

容器（Container）：镜像的"运行实例"

容器是镜像的运行实例。当你用 docker run 启动一个镜像时，Docker 会在镜像之上创建一个可写层，这就是容器。

简单理解：镜像就是类，容器就是对象——类是静态的模板，对象是动态的实例。

每个容器都是相互隔离的，有自己的文件系统、网络、进程空间。就像住在同一栋楼里的不同公寓，互不干扰。

仓库（Registry）：镜像的"应用商店"

仓库用来存放和分发镜像。最著名的是 Docker Hub，类似于代码界的 GitHub，官方和社区提供了海量镜像。

国内常用的镜像仓库：

仓库特点
Docker Hub全球最大，官方镜像集中地
阿里云容器镜像服务国内访问快，支持私有仓库
企业私有仓库 Harbor企业内网部署，安全可控

💡 国内拉取 Docker Hub 镜像经常超时，建议搭建 Harbor 私有仓库做代理缓存（详见后续章节）。

Docker 架构：Client-Server 模型

Docker 采用 Client-Server 架构，你敲的每条 docker 命令，都是客户端（CLI）向守护进程（Docker Daemon）发请求：

在这里插入图片描述

  • Docker Client（docker 命令）：你直接交互的命令行工具
  • Docker Daemon（dockerd）：后台守护进程，负责管理镜像、容器、网络、卷
  • containerd：Docker 内部使用的容器运行时，负责实际启动和停止容器
  • BuildKit：镜像构建引擎，比传统 Docker Builder 快很多

💡 注意：K8s 从 v1.24 起直接使用 containerd 而不再依赖 Docker Daemon，但容器镜像格式完全一样，Docker 构建的镜像可以无缝在 K8s 中运行。

2026 年容器运行时格局

很多初学者会被 Docker、containerd、Podman 这些概念搞晕，咱们来梳理一下：

工具定位特点适合谁
Docker容器平台CLI + Daemon + 运行时，体验最完整开发者入门、本地开发
containerd容器运行时Docker 和 K8s 的底层运行时，轻量稳定K8s 生产集群（78%+ 的 K8s 集群使用）
Podman容器引擎无守护进程、默认 Rootless、兼容 Docker CLI安全要求高的环境
nerdctlDocker CLI 替代兼容 Docker 命令语法，直接操作 containerd用 containerd 但想要 Docker 体验的运维
OrbStackmacOS 容器平台Docker Desktop 的轻量替代，启动极快macOS 开发者

选型原则：

  • 本地开发：Docker Desktop（Windows） 或 OrbStack（macOS）
  • K8s 生产：containerd + nerdctl（运维需要 Docker 体验时）
  • 高安全要求：Podman（默认无 root 权限，无守护进程攻击面小）

💡 从 Docker 开始学没错。Docker 的概念和操作是行业通用语言，学会 Docker 后切到 containerd 或 Podman 只需要换个命令，核心概念完全一样。

2026 年新变化：

  • WSL Container：微软在 Build 2026 宣布 WSL 原生支持 OCI 容器（wslc 命令），Windows 上跑容器不再依赖 Docker Desktop
  • Apple Container：苹果在 macOS 26 上推出原生容器支持，基于 Swift 和虚拟化框架，OCI 兼容
  • WebAssembly（Wasm）：作为容器的补充，更小体积、更快启动，适合边缘计算和 Serverless 场景

Docker 能干什么

了解了概念，咱来看看 Docker 的实际应用场景：

开发环境标准化：团队成员用统一的 Docker 开发环境，新人入职一条命令搭好环境，告别"在我机器上能跑"。

微服务架构：每个服务打包成独立容器，独立部署、独立扩展，服务之间通过 API 通信，耦合度大大降低。

CI/CD 持续部署：代码提交后自动构建镜像，测试通过后自动部署，整个流程高效、可重复、可回滚。

快速搭建测试环境：需要 MySQL？Redis？Elasticsearch？一条命令搞定，不用手动安装配置，用完直接删除。

云原生基础：K8s 就是基于容器的编排平台，Docker 是走向云原生的第一步。

常见问题

Docker 会取代虚拟机吗？

不会完全取代。容器适合无状态应用、微服务等场景；虚拟机适合需要完整 OS、更强隔离的场景（如运行 Windows 系统、内核级安全隔离）。生产环境中容器 + 虚拟机配合使用是常态，比如： 我们经常在开发使用的Windows/Mac系统上使用虚拟机安装Ubuntu系统，在其中部署Docker模拟真实的生产场景。

Windows 上能用 Docker 吗？

能！Docker Desktop for Windows 使用 WSL2 在 Windows 上运行 Linux 容器。2026 年微软还推出了 WSL Container（wslc 命令），可以不依赖 Docker Desktop 直接跑 OCI 容器，目前仍在开发中。

容器安全吗？

容器提供进程级别的隔离（Namespace），但共享宿主机内核，隔离性不如虚拟机的硬件级隔离。不过只要遵循安全最佳实践——容器以非 root 用户运行、使用只读文件系统、限制容器资源——大多数场景下是安全可靠的。对安全要求极高的场景，Podman 的 Rootless 模式提供了更强的安全保障。

Docker 和 K8s 是什么关系？

Docker 负责打包和运行单个容器，K8s 负责管理成百上千个容器的调度、扩缩容、服务发现。可以理解为 Docker 是"造车"，K8s 是"管车队"。K8s 从 v1.24 起不再直接依赖 Docker Daemon，改用 containerd 作为运行时，但 Docker 构建的镜像在 K8s 中完全兼容。

总结

  • 环境一致性：Docker 把应用和依赖打成一个镜像，在哪跑都一样，告别"在我机器上能跑"。
  • 容器 vs 虚拟机：容器共享宿主机内核，秒级启动、MB 级镜像；虚拟机要跑完整 OS，分钟级启动、GB 级镜像。两者不是替代关系，而是配合使用。
  • 三大核心概念：镜像（只读模板）→ 容器（运行实例）→ 仓库（镜像分发），"镜像就是类，容器就是对象"。
  • 2026 运行时格局：Docker 适合开发入门，containerd 是 K8s 生产标配，Podman 主打安全，nerdctl 兼容 Docker 命令操作 containerd。

实战练习

项目背景

你刚加入一个 5 人创业团队，团队有 3 个后端服务和 2 个前端项目。目前每个开发人员都在自己电脑上手动安装 MySQL、Redis、Nginx 等依赖，新人入职配环境平均要花 2 天，上周还因为开发环境 Python 版本不一致导致线上 Bug。团队决定引入 Docker 统一开发环境。

需求范围

  • ✅ In Scope：理解容器 vs 虚拟机核心差异，能用 Docker 运行基础容器
  • ❌ Out of Scope：Docker 镜像构建、Docker Compose 编排、K8s 部署

功能需求

  • FR-001：作为开发人员，我需要理解容器与虚拟机在隔离机制上的区别，以便评估 Docker 是否满足团队的安全隔离需求
  • FR-002：作为新人，我需要知道 Docker 三大核心概念（镜像/容器/仓库）的关系，以便后续学习 Docker 操作命令时不困惑
  • FR-003：作为技术负责人，我需要了解当前容器运行时的选型方案，以便为团队选择合适的容器工具链

验收标准

  • AC-001.1：Given 了解虚拟机和容器的架构区别，When 被问"容器为什么启动比虚拟机快"，Then 能回答"容器共享宿主机内核，不需要启动完整的 Guest OS"
  • AC-001.2：Given 了解容器隔离机制，When 被问"容器和虚拟机哪个隔离性更强"，Then 能回答"虚拟机是硬件级隔离更强，容器是进程级隔离共享内核"
  • AC-002.1：Given 了解了镜像和容器的关系，When 被问"修改容器内的文件会影响镜像吗"，Then 能回答"不会，容器在镜像之上有一个可写层，修改不会影响原始镜像"
  • AC-003.1：Given 了解容器运行时格局，When 团队需要在 K8s 生产环境选择运行时，Then 能选择 containerd 而非 Docker Daemon

约束条件

  • 仅需理解概念，不需要实际安装 Docker
  • 建议完成时间：15 分钟

依赖与前置条件

  • 了解 Linux 基础命令行操作
  • 对"进程""操作系统内核"有基本概念
avatar
文章
阅读
粉丝