如何在不暴露源代码的情况下本地部署Docker Compose应用

方案1：构建私有镜像并离线传输 #

这是最直接的无代码泄露方案，仅传输运行时镜像：

• 步骤1：在本地完成所有服务的镜像构建，给每个镜像打上自定义标签（例如myapp/python-service:v1、myapp/js-service:v1）
• 步骤2：将镜像导出为tar包：

  # 导出单个镜像
  docker save -o python-service.tar myapp/python-service:v1
  docker save -o js-service.tar myapp/js-service:v1
  # 或者打包所有相关镜像到一个文件
  docker save -o myapp-all-images.tar myapp/python-service:v1 myapp/js-service:v1
  

• 步骤3：通过U盘、局域网共享文件夹等离线方式将tar包传到目标电脑
• 步骤4：在目标电脑加载镜像：

  # 加载单个镜像
  docker load -i python-service.tar
  docker load -i js-service.tar
  # 加载打包的所有镜像
  docker load -i myapp-all-images.tar
  

• 步骤5：将修改后的docker-compose.yml文件（移除build字段，改用image指定加载好的镜像标签）传到目标电脑，执行启动命令：

  docker-compose up -d
  

• 优势：完全离线，代码仅存在于你的本地构建环境，目标电脑仅获取运行时镜像，无法接触源码。

方案2：搭建本地私有镜像仓库 #

适合需要在多台本地设备重复部署的场景：

• 步骤1：在局域网内的一台机器（或你的本地电脑）启动私有镜像仓库：

  docker run -d -p 5000:5000 --restart=always --name registry registry:2
  

• 步骤2：给本地构建的镜像打上私有仓库标签：

  docker tag myapp/python-service:v1 [仓库IP]:5000/myapp/python-service:v1
  docker tag myapp/js-service:v1 [仓库IP]:5000/myapp/js-service:v1
  

• 步骤3：将镜像推送到私有仓库：

  docker push [仓库IP]:5000/myapp/python-service:v1
  docker push [仓库IP]:5000/myapp/js-service:v1
  

• 步骤4：在目标电脑配置Docker允许访问私有仓库，修改docker-compose.yml的镜像地址为私有仓库地址，执行拉取和启动命令：

  docker-compose pull
  docker-compose up -d
  

• 优势：无需反复传输tar包，多设备部署更高效，全程不泄露代码。

方案3：Docker Compose离线打包（Docker 20.10+） #

利用Docker自带的打包功能整合所有资源：

• 步骤1：在本地执行打包命令，生成包含所有镜像和配置的.dab文件：

  docker compose bundle
  

• 步骤2：将打包文件传到目标电脑，先初始化Docker Swarm（该方式依赖Swarm）：

  docker swarm init
  

• 步骤3：加载并部署应用：

  docker deploy --bundle-file myapp.dab myapp
  

• 优势：一键打包所有资源，操作简洁，源码不会对外暴露。

关键注意事项 #

• 务必确保docker-compose.yml中移除build字段，全部替换为image指定已构建的镜像，避免目标电脑尝试从源码构建
• 应用所需的环境变量、配置文件（如.env）需单独传输，但不要包含敏感代码
• 目标电脑需提前安装对应版本的Docker和Docker Compose，避免兼容性问题

内容的提问来源于stack exchange，提问作者Axel