“我电脑能运行”常常意味着机器上有隐式依赖：特定运行时版本、系统库、配置文件或服务。容器镜像把应用和运行所需用户空间依赖打包成可分发产物，目标是让不同环境以相同方式运行。
Docker 常见组成是 CLI 客户端与后台 daemon。你输入 docker build/run 命令，客户端调用 daemon；daemon 构建镜像、创建容器、网络和存储。镜像可以从 registry 拉取和推送。
容器不是完整虚拟机：容器中的进程共享宿主机内核，通过 namespace 等机制隔离进程、网络、挂载等视图，并用 cgroups 等机制控制资源。隔离程度取决于配置、内核和运行时；不要把容器当成自动安全边界。
- Image 镜像：只读模板，由分层文件系统和运行配置组成。
- Container 容器：镜像运行时实例，包含可写层和进程状态。
- Registry 仓库：分发镜像的服务，如私有仓库或公共仓库。
- Volume 卷：容器生命周期之外的持久数据存储。
- Bind mount 绑定挂载：把宿主机路径挂到容器中，适合开发文件热更新。
- Network 网络：提供容器间通信和服务发现。
- Dockerfile：描述怎样构建镜像。
- Compose：通过 YAML 定义并启动多个相关容器。