docker-2025-features

用途

该技能用于帮助开发者了解并应用 Docker 在 2025 年发布的最新特性，覆盖安全、性能与开发体验方面的能力。它同时包含若干使用规范：在 Windows 上使用 Edit 或 Write 工具时，文件路径必须使用反斜杠（如 D:\repos\project\file.tsx），而非正斜杠；除非用户明确要求，否则不应创建新的文档文件，优先更新已有的 README.md，保持仓库根目录整洁，文档风格应简洁、直接、专业。

主要能力

Docker Engine 28（2025）

镜像类型挂载：可将镜像目录结构直接挂载到容器内，无需先解压到卷。支持将镜像层作为只读文件系统挂载、在容器间共享公共数据、加快数据密集型容器启动、减少磁盘占用。示例：
```
docker run --rm \
  --mount type=image,source=mydata:latest,target=/data \
  alpine ls -la /data
```
也可挂载镜像中的特定路径：
```
docker run --rm \
  --mount type=image,source=mydata:latest,image-subpath=/config,target=/app/config \
  alpine cat /app/config/settings.json
```
适用场景包括只读配置分发、跨容器共享 ML 模型权重、静态资源服务、测试用不可变数据集。
版本化调试端点：调试端点现可通过标准版本化 API 路径访问，如 /v1.48/debug/vars、/v1.48/debug/pprof/*。可用 curl 通过 unix socket 访问，例如获取 CPU profile：
```
curl --unix-socket /var/run/docker.sock http://localhost/v1.48/debug/pprof/profile?seconds=30 > profile.out
```
组件更新：Engine 28.3.3 包含 Buildx v0.26.1、Compose v2.40.3、BuildKit v0.25.1、Go runtime 1.24.8。
安全修复：CVE-2025-54388 修复 firewalld 重载问题，该问题可能导致绑定到回环地址的已发布容器端口仍可从本地网络访问。
弃用：Docker Engine 28 是最后一个支持 Raspberry Pi OS 32 位（armhf）的主要版本，从 Engine 29 起不再提供新的 armhf 包，建议迁移到 64 位系统或使用 Engine 28.x LTS。

Docker Desktop 4.47（2025 年 10 月）

MCP 目录集成：提供 Model Context Protocol（MCP）服务器目录，含 100+ 经验证的容器化工具，支持发现与搜索 MCP 服务器、一键部署、与 Docker AI 和 Model Runner 集成、集中管理 AI 智能体工具。可通过 Docker Hub MCP Catalog、Docker Desktop MCP Toolkit 或 https://www.docker.com/mcp-catalog 访问。
Model Runner 增强：改进模型管理 UI、增强推理 API、提升推理引擎性能、在 Docker Desktop 中查看模型卡、新增 docker model requests 命令用于监控。示例：
```
docker model ls
docker model inspect llama2-7b
docker model requests llama2-7b
docker stats $(docker model ls -q)
```
静默组件更新：Docker Desktop 可自动更新内部组件而无需重启整个应用，默认启用，可在 Settings > General 中禁用，仅重大更新会通知。
CVE 修复：CVE-2025-10657（v4.47）修复 4.46.0 中增强容器隔离的 Docker Socket 命令限制失效问题；CVE-2025-9074（v4.46）修复恶意容器逃逸问题。

Docker Desktop 4.38–4.45

Docker AI 助手（Project Gordon）：集成于 Docker Desktop 和 CLI 的 AI 助手，支持自然语言命令、上下文感知故障排查、自动化 Dockerfile 优化、实时最佳实践建议、智能错误诊断。可在 Settings > Features > Docker AI (Beta) 中启用。本地 Model Runner 基于 llama.cpp，无需云 API，数据保留本地，支持 GPU 加速与离线使用。
增强容器隔离（ECI）：额外安全层，限制 Docker Socket 访问与容器逃逸途径，默认限制容器能力，阻止常见逃逸技术，执行更严格的资源边界并审计容器操作。可通过 Settings > Security 启用，或使用：
```
docker desktop settings set enhancedContainerIsolation=true
```
适用于多租户环境、安全关键应用、合规要求（PCI-DSS、HIPAA）、零信任架构及运行不可信代码的开发环境。可能破坏需要 Docker Socket 访问的容器，需 Docker Desktop 4.38+，支持 Windows（WSL2）、macOS、Linux Desktop。
Model Runner：内置 AI 模型执行引擎，支持本地运行大语言模型，无需云服务，支持 GPU 加速、隐私保护推理、多种模型格式，并与 Docker AI 集成。示例：
```
docker model run llama2-7b
docker model ls
docker model stop MODEL_ID
```
多节点 Kubernetes 测试：可在 Docker Desktop 中测试 2–5 节点集群（此前仅单节点），用于测试 Pod 调度、亲和/反亲和规则、网络策略、模拟节点故障、验证 StatefulSets 与 DaemonSets。
Bake 正式发布：用于复杂多目标构建的高层构建编排工具，从实验性转为生产可用。示例 docker-bake.hcl 定义 target 后，可用 docker buildx bake 或 docker buildx bake test 构建。

Moby 25 Engine 更新

性能：冷启动提速 20–30%，改进层解压与网络初始化；更准确的内存核算、改进 CPU 节流、更好支持 cgroup v2；overlay2 性能提升、磁盘空间管理更好、镜像拉取更快。
安全：增强 Seccomp 配置文件（示例 JSON 定义默认动作与允许的系统调用）、改进 AppArmor 集成、改进用户命名空间配置与兼容性。

Docker Compose v2.40.3+（2025）

Compose Bridge：一条命令将本地 compose.yaml 转换为 Kubernetes 清单，自动将服务转换为 Deployment、映射服务间关系、将卷转换为 PersistentVolumeClaim、生成 ConfigMap 与 Secret、配置 Ingress。示例：
```
docker compose convert --format kubernetes > k8s-manifests.yaml
docker compose-bridge convert docker-compose.yml
kubectl apply -f k8s-manifests.yaml
```
破坏性变更：version 字段已废弃并被忽略，可省略。
新特性：develop watch 支持 initial_sync: full；卷类型支持 type: image；docker compose build --print 输出构建配置；docker compose config --no-env-resolution 查看未替换环境变量的原始配置；docker compose watch --prune 自动清理未使用资源；docker compose run --quiet 减少输出噪音。

BuildKit 更新（2025）

新特性：支持 Git SHA-256 仓库；COPY/ADD --exclude 正式可用；ADD --unpack 与 --chown 组合；Git 查询参数（如 depth、branch）；镜像校验和验证。
安全增强：改进前端验证，建议使用官方 Docker 前端并通过 digest 固定；远程缓存改进并发问题、循环处理与安全性。

使用方式

该技能以文档形式提供上述特性的说明、命令示例与配置片段。用户可依据具体场景查阅对应章节，例如启用 Docker AI、配置 ECI、使用 Compose Bridge 转换清单或采用新的 BuildKit 语法。技能还包含最佳实践建议：使用 Docker AI 时提供具体上下文、验证生成的配置、结合传统安全工具，不要盲目信任 AI 处理安全关键应用；启用 ECI 前应测试兼容性、记录 Socket 访问、应用最小权限；使用现代 Compose 文件时去掉 version 字段并测试 Compose v2.40+。

适用场景

适用于需要跟进 Docker 2025 年新特性的开发者与运维人员，包括容器安全加固、本地 AI 模型运行、Kubernetes 迁移测试、构建性能优化与 Compose 配置现代化等场景。

限制

资料中未提供该技能的具体安装命令、收费方式、平台支持范围或效果数据。部分特性标注为 Beta（如 Docker AI）或需要特定版本（如 ECI 需 Docker Desktop 4.38+）。迁移路径、新特性故障排查（compose-bridge、hardened-mode、BuildKit history）及推荐采用时间线详见 references/migration-troubleshooting-timeline.md。