两个概念的区别
EXPOSE 写在 Dockerfile 里，只是声明「这个镜像的进程监听哪个端口」，作用是文档说明与 -P 自动映射的依据，本身不会让宿主机监听任何端口。真正建立映射的是运行时的 -p / --publish 参数。而容器之间的互相访问走自定义网络，与是否 EXPOSE、是否发布端口都没有关系。
基本信息
| 声明方式 | EXPOSE 80/tcp（Dockerfile 指令） |
|---|---|
| 发布方式 | docker run -p 8080:80 |
| 自动映射 | -P 依据镜像的 EXPOSE 随机分配宿主端口 |
| 容器互访 | 同自定义网络内按容器名加端口访问 |
| 是否监听宿主 | EXPOSE 不监听，-p 才监听 |
典型使用场景
- 排查「服务访问不了」：先分清是没发布端口，还是应用根本没监听
- 反向代理接入：反代容器与服务容器同网络，直接代理到容器名加端口
- 临时验证：用 -P 让宿主随机分配端口，避免与本机端口冲突
- 代码评审：把 EXPOSE 当作镜像对外接口声明来读
- 安全收敛：不需要外部访问的内部服务一律不加 -p
对比实验
对比实验
docker run -d --name web nginx:1.27 # 镜像声明了 80，但宿主未发布
docker port web # 输出为空，说明宿主没有映射
docker run -d -p 8080:80 --name web2 nginx:1.27 # 建立宿主 8080 到容器 80 的映射
docker port web2 # 输出 80/tcp -> 0.0.0.0:8080
docker run -d -P --name web3 nginx:1.27 # 按 EXPOSE 随机分配宿主端口
docker port web3 # 查看实际分配到的宿主端口维度对照
| 维度 | EXPOSE（Dockerfile） | -p / --publish（运行时） |
|---|---|---|
| 作用 | 声明容器监听意图 | 建立宿主机到容器的端口映射 |
| 宿主监听 | 不产生 | 产生对应宿主机监听 |
| 容器互访 | 同网络按容器名加端口即可 | 与容器互访无关 |
| 典型误解 | 写了就对外可访问 | 不写就不会被外部访问 |
| 生效范围 | 随镜像分发 | 仅作用于当前创建命令 |
微服务之间的调用走容器网络即可，只有需要被宿主机之外访问的入口服务才需要发布端口。-P 配合 docker port 适合临时验证。
容器互访用的是容器网络内的地址与端口，与镜像是否声明 EXPOSE 无关；只有 -P 会自动读取 EXPOSE 作为分配依据。