为什么无需配置端口映射也能访问Docker中运行的Flask应用？

你之前的认知偏差核心是混淆了容器对宿主机的网络可达性和容器对宿主机外部网络的暴露规则：

• Docker默认使用bridge网络模式启动容器，会自动为每个容器分配172.17.0.0/16网段的独立IP，宿主机本身是这个bridge网络的网关，天然具备到该网段所有容器IP的路由能力。只要容器内的服务监听0.0.0.0而非本地回环地址127.0.0.1，且没有容器内防火墙规则拦截，宿主机就可以直接通过「容器IP+容器内端口」访问服务，不需要额外做端口映射。
• -p（端口映射）参数的作用不是让宿主机能访问容器，而是把容器的端口映射到宿主机的物理网卡上，让宿主机所在局域网、公网的其他设备也能访问容器内的服务。比如你宿主机的局域网地址是192.168.3.4，不做映射的情况下只有宿主机自己能访问172.17.0.2:5000，配置-p 8080:5000之后，同局域网的其他设备就能通过访问192.168.3.4:8080来使用容器内的Flask服务。

补充说明：你当前的测试结果完全符合Docker的默认网络规则，不存在特殊的自动暴露逻辑，完全是bridge网络的路由互通特性导致的。如果后续你把容器部署到云服务器上，没有配置端口映射的话，公网用户也是没法直接通过容器IP访问服务的。

内容的提问来源于stack exchange，提问作者Michael