Docker容器为何可复用主机已占用端口？绑定地址差异揭秘

主机已运行Postgres服务，绑定5432端口，通过lsof命令查看结果如下：

$ lsof -i :5432
COMMAND  PID  USER   FD   TYPE             DEVICE SIZE/OFF NODE NAME
postgres 731 dport    7u  IPv6 0x404077422150a1b1      0t0  TCP localhost:postgresql (LISTEN)
postgres 731 dport    8u  IPv4 0x4040773d52a3bfd9      0t0  TCP localhost:postgresql (LISTEN)

执行以下命令启动Postgres容器：

docker run -p 5432:5432 -e POSTGRES_HOST_AUTH_METHOD=trust postgres:14.9

尽管主机5432端口已被占用，容器仍能正常启动，但从主机通过5432端口连接时，实际连接的是主机上的Postgres服务。普通主机进程启动时会因「端口已占用」报错，为何容器无此问题？

环境信息 #

$ docker --version
Docker version 24.0.6, build ed223bc

使用Docker Desktop for Mac版本：4.23.0 (120376)

更新 #

后续发现，使用以下命令发布端口时，会出现预期的「端口已占用」报错：

docker run -p 127.0.0.1:5432:5432 -e POSTGRES_HOST_AUTH_METHOD=trust postgres:14.9

报错信息：

docker: Error response from daemon: Ports are not available: exposing port TCP 127.0.0.1:5432 -> 0.0.0.0:0: listen tcp 127.0.0.1:5432: bind: address already in use.

但使用以下两种命令（效果一致）时，容器均可正常启动：

docker run -p 5432:5432 -e POSTGRES_HOST_AUTH_METHOD=trust postgres:14.9
docker run -p 0.0.0.0:5432:5432 -e POSTGRES_HOST_AUTH_METHOD=trust postgres:14.9

核心疑问：为何监听0.0.0.0与127.0.0.1时，同一端口不会冲突？

这本质是TCP监听的绑定规则问题：

• TCP的端口占用判定是基于「IP地址 + 端口号」的组合，而非单一端口号。只要绑定的IP地址不同，即使端口号相同，也不会触发冲突报错。
• 主机上的Postgres服务绑定的是localhost（对应127.0.0.1和IPv6的::1），仅接受本机回环接口的连接请求。
• 当使用-p 0.0.0.0:5432:5432（或省略IP的-p 5432:5432，Docker默认绑定0.0.0.0）时，Docker实际是在主机的所有非回环网络接口（公网、局域网接口等）上监听5432端口，绑定的IP是0.0.0.0，和主机Postgres绑定的127.0.0.1属于不同IP，因此不会触发端口占用报错。

至于从主机连接localhost:5432时会连到主机Postgres而非容器，是因为回环接口的请求会优先匹配绑定127.0.0.1的进程，Docker绑定的0.0.0.0不会拦截回环接口的流量。只有从主机以外的设备（比如局域网内其他机器）访问主机公网/局域网IP的5432端口时，才会被Docker转发到容器内的Postgres。

而当指定-p 127.0.0.1:5432:5432时，Docker尝试绑定的IP和主机Postgres的绑定IP完全一致，此时就会触发「地址已被占用」的报错，这和普通主机进程的端口冲突逻辑一致。

内容的提问来源于stack exchange，提问作者Daniel Porteous