使用命名卷或绑定挂载实现数据持久化，避免容器删除导致数据丢失；2. 创建自定义桥接网络并禁止端口暴露，确保数据库仅限内部安全访问；3. 应用容器与数据库容器共用自定义网络，通过服务名通信，提升安全性与性能；4. 注意文件权限与SELinux策略，保障挂载目录可读写。该方案确保Docker部署数据库时的数据持久性、安全隔离与高效访问。
在使用 Docker 容器部署数据库服务时，合理配置存储卷和网络隔离是保障数据持久性、性能和安全的关键。数据库不同于无状态应用，对数据一致性、I/O 性能和访问控制要求更高，因此需特别设计存储与网络策略。
存储卷配置：确保数据持久化与性能
数据库容器默认将数据保存在临时文件系统中，一旦容器被删除，数据也将丢失。为避免此类风险，必须使用持久化存储卷。
-
使用命名卷（Named Volume）：Docker 原生支持的命名卷由 Docker 管理，适合大多数数据库场景。例如 MySQL 可通过
docker run -v mysql-data:/var/lib/mysql ...挂载，数据独立于容器生命周期存在。 -
绑定挂载（Bind Mount）适用于特定路径控制：若需将数据存储在主机指定目录（如 SSD 路径），可使用绑定挂载，如
-v /ssd/dbdata:/var/lib/mysql，便于备份和性能优化。 -
注意文件权限与SELinux/AppArmor策略：绑定挂载时，确保容器内数据库进程有权限读写宿主机目录，必要时调整 chown 或启用 z/Z 标志（如
:Z）处理 SELinux 上下文。 - 避免使用临时卷或默认匿名卷：难以管理且易误删，不利于生产环境维护。
网络隔离方案：提升安全性与访问控制
数据库通常不应暴露在公共网络中，应通过网络隔离限制访问来源，防止未授权连接。
-
创建自定义桥接网络（Custom Bridge Network）：使用
docker network create db-network创建专用网络，仅允许加入该网络的容器通信，实现基本隔离。 -
禁止数据库服务对外暴露端口：启动数据库容器时不使用
-p映射端口到主机，仅允许同网络内其他服务（如应用容器）访问。 - 配合应用容器部署在同一自定义网络中：应用容器通过容器名称直接访问数据库（如 mysql://db:3306），无需经过主机网络栈，更安全高效。
- 使用防火墙或Docker网络策略增强控制（可选）：在 Swarm 或结合第三方插件时，可配置更细粒度的入站/出站规则。
实际部署建议示例
以 MySQL 为例，推荐的启动命令如下：
docker network create app-net docker volume create mysql-data docker run -d \ --name mysql-db \ --network app-net \ -v mysql-data:/var/lib/mysql \ -e MYSQL_ROOT_PASSWORD=securepass \ -e MYSQL_DATABASE=myapp \ --restart unless-stopped \ mysql:8
再将应用容器也接入 app-net 网络，即可实现安全通信与数据持久化。
