如何在无--net host的Docker容器中通过SSH可靠运行X应用

我之前也踩过完全一样的坑，不用--net host完全能搞定，而且不会暴露主机网络，下面是亲测有效的步骤：

核心问题分析 #

你遇到的错误本质是两个原因：

• 容器默认桥接网络下，localhost指向容器自身而非远程主机，直接传DISPLAY=localhost:10.0时，容器里的X应用找不到主机的Xserver；
• 没有正确传递X11认证信息（xauth cookie），也未挂载主机的X11套接字，导致即使网络连通也没有访问权限。

方法一：挂载X11套接字与认证文件（简单直接） #

这是最常用的方式，无需复杂配置：

在远程主机上执行以下命令启动容器：

docker run -ti \
  -e DISPLAY=$DISPLAY \
  -v /tmp/.X11-unix:/tmp/.X11-unix \
  -v $HOME/.Xauthority:/root/.Xauthority \
  name_of_docker_image

参数解释：

• -e DISPLAY=$DISPLAY：传递主机的DISPLAY环境变量，告诉容器里的X应用要连接的显示设备；
• -v /tmp/.X11-unix:/tmp/.X11-unix：挂载主机的X11 Unix套接字，容器里的X应用通过这个套接字直接和主机的Xserver通信，无需走TCP网络；
• -v $HOME/.Xauthority:/root/.Xauthority：把主机的X认证文件挂载到容器的root用户目录，让容器里的应用通过X11权限认证，避免使用不安全的xhost +。

如果容器运行的是普通用户而非root，需要调整挂载路径和用户参数：

docker run -ti \
  -e DISPLAY=$DISPLAY \
  -v /tmp/.X11-unix:/tmp/.X11-unix \
  -v $HOME/.Xauthority:/home/your-container-user/.Xauthority \
  -u your-container-user \
  name_of_docker_image

方法二：使用临时认证文件（更安全） #

如果不想把主机的.Xauthority直接挂载到容器，可以生成临时认证文件：

1. 在远程主机上生成临时xauth文件：

xauth nlist $DISPLAY | sed -e 's/^..../ffff/' | xauth -f /tmp/docker.xauth nmerge -

2. 启动容器时挂载临时文件并指定认证路径：

docker run -ti \
  -e DISPLAY=$DISPLAY \
  -e XAUTHORITY=/tmp/docker.xauth \
  -v /tmp/.X11-unix:/tmp/.X11-unix \
  -v /tmp/docker.xauth:/tmp/docker.xauth \
  name_of_docker_image

这种方式不会暴露主机原始认证文件，安全性更高，适合权限要求严格的场景。

验证配置 #

启动容器后，安装并运行一个简单的X应用测试（比如xeyes）：

apt update && apt install -y x11-apps
xeyes

如果能看到眼睛跟随鼠标移动，说明配置成功。

内容的提问来源于stack exchange，提问作者rubund