Docker Compose未配置端口映射的Nginx镜像为何能直接被访问？

问题解答 #

1. 可直接访问的核心原因 #

你访问的是容器自身分配的docker内网私有IP，该场景下不需要端口映射即可连通，满足两个前提即可：

• 你的访问发起端（运行浏览器的设备）和docker容器所在的网桥网段路由可达，最常见的情况就是你直接在docker宿主机器上访问容器IP
• 你使用的nginx官方镜像的Dockerfile中已经通过EXPOSE 80指令声明了容器会监听80端口，该声明明确了容器对外开放的端口，只要网络可达就可以直接访问该端口。

你提供的docker ps输出中每个容器后的80/tcp就是镜像EXPOSE的端口标识，仅表示容器监听了该端口，不是端口映射的标记。

2. 与docker-compose版本无关 #

该现象是docker原生的网络机制决定的，和docker-compose的版本没有任何关联，所有兼容OCI标准的docker版本都遵循该逻辑。

3. 你对官方说明的理解误区 #

官方文档中「必须通过-p参数或ports字段暴露端口才能访问容器」的说法，适用前提是你需要通过docker宿主的IP/端口来转发访问容器服务，也就是给和容器内网网段不可达的外部网络提供访问入口。如果你的访问端本身就在容器的同网段、或者路由可直达容器的私有IP，完全不需要做端口映射就能直接访问容器监听的端口。

内容的提问来源于stack exchange，提问作者S. Wasta