Docker容器连接主机仅监听localhost的MySQL/MariaDB数据库的安全实现方案咨询

我完全理解你的顾虑——开放SQL服务器的远程连接确实有不小的安全风险，而且host.docker.internal本质上是让容器把请求发到宿主机的外部网络接口，所以MySQL会判定为远程连接，这显然不是我们想要的。下面几个方案既能满足你“容器通过宿主机localhost发起请求”的需求，又不用妥协安全性或过度暴露网络：

1. 最优解：挂载Unix套接字实现本地进程通信 #

MySQL/MariaDB默认支持通过Unix套接字进行本地连接，这种方式完全不走TCP网络，是最安全、最简单的方案，甚至不需要修改任何MySQL配置：

• 首先确认宿主机上MySQL的套接字路径，通常是/var/run/mysqld/mysqld.sock（可以在MySQL配置文件里的socket字段找到）。
• 启动容器时，把这个套接字路径挂载到容器内的对应位置：

  docker run -d \
    -v /var/run/mysqld/mysqld.sock:/var/run/mysqld/mysqld.sock \
    # 其他容器参数...
    your-backend-image
  

• 在容器内配置数据库连接时，使用套接字路径而非TCP地址。比如：
  • Python SQLAlchemy连接字符串：mysql+pymysql://username:password@/dbname?unix_socket=/var/run/mysqld/mysqld.sock
  • Node.js（mysql2库）：const connection = mysql.createConnection({ socketPath: '/var/run/mysqld/mysqld.sock', user: '...', password: '...', database: '...' })

这种方式下，容器直接通过挂载的套接字和宿主机的MySQL进程通信，MySQL会认为是本地连接，无需开启任何远程访问权限，安全性拉满。

2. 利用Docker私有桥接网络的宿主机内部IP #

如果你的应用必须用TCP连接，可以通过Docker的私有桥接网络实现，避免暴露公网：

• 首先查看Docker默认桥接网络的宿主机IP（通常是172.17.0.1），执行命令：

  ip addr show docker0
  

• 修改MySQL配置文件（比如/etc/mysql/mariadb.conf.d/50-server.cnf），把bind-address改为同时监听回环接口和Docker桥接IP：

  bind-address = 127.0.0.1,172.17.0.1
  

• 重启MySQL服务：sudo systemctl restart mariadb
• 容器内连接数据库时，使用这个172.17.0.1作为主机地址。

如果觉得默认桥接网络不够隔离，你也可以创建自定义桥接网络：

docker network create my-app-private-net

查看该网络的网关IP（宿主机在这个网络的IP）：

docker network inspect my-app-private-net | grep Gateway

把这个网关IP添加到MySQL的bind-address里，启动容器时指定--network my-app-private-net，容器就用这个网关IP连接数据库即可。这种方式下，MySQL只监听本地和私有桥接网络，不会暴露到公网，安全性远高于开放所有远程连接。

3. 用iptables转发请求到回环接口（进阶方案） #

如果你不想修改MySQL的绑定地址，可以通过iptables把容器发往宿主机桥接IP的请求转发到回环接口：

• 添加iptables规则：

  sudo iptables -t nat -A PREROUTING -i docker0 -p tcp --dport 3306 -j DNAT --to-destination 127.0.0.1:3306
  

• 保存规则（避免重启后失效）：

  sudo iptables-save > /etc/iptables/rules.v4
  

这样容器连接172.17.0.1:3306时，请求会被iptables转发到宿主机的127.0.0.1:3306，MySQL会判定为本地连接。不过这个方案需要维护iptables规则，不如前两种方便。

总的来说，最推荐的是第一种Unix套接字挂载的方案，几乎没有额外配置，安全性也最高，完全符合你的需求。

内容的提问来源于stack exchange，提问作者jbreu