容器与传统虚拟机不同，它本质上是由命名空间隔离出来的一组进程，本身并不自带一个常驻的Shell终端。所以所谓“进入容器”，其实是想办法在容器的命名空间里启动一个进程（通常是bash或sh），或者把本地终端挂接到容器的主进程上。理解了这一点，再去学习各种进入容器的方法，思路就会清晰很多。下面结合实际操作，把几种常见方式逐一讲清楚。
一、docker exec：最推荐的日常方式
docker exec 是官方推荐、也是日常使用频率最高的方式。它的原理是在目标容器内部新启动一个进程，这个进程享受容器的文件系统、网络和进程命名空间，但并不会干扰容器原有的主进程。执行完命令退出时，新进程结束，容器继续正常运行。
最典型的用法是进入交互式终端：
docker exec -it mynginx /bin/bash
这里有两个关键参数：-i 保持标准输入打开，-t 分配一个伪终端。两者配合才能获得可交互的Shell体验。如果只加 -t 不加 -i，终端会显示但无法输入；反过来则没有提示符，体验都很差。
需要注意容器里不一定有 bash。一些基于 Alpine 或 scratch 构建的精简镜像只有 sh，此时应该执行：
docker exec -it alpine容器名 /bin/sh
如果提示 bash 不存在，可以先用 docker exec mynginx ls /bin 看一眼容器里有哪些可用的Shell。另外，exec 并不局限于开Shell，也可以直接执行一次性命令，比如 docker exec mynginx cat /etc/nginx/nginx.conf，这种方式不用进入交互环境就能拿到结果，在脚本里特别好用。
二、docker attach：能进但容易踩坑
docker attach 的行为和 exec 完全不同。它不是新建进程，而是把本地终端的标准输入输出直接挂接到容器的主进程上，相当于“围观”主进程的终端。命令本身很简单：
docker attach mynginx
它的坑在于退出方式。默认情况下，在 attach 会话里按 Ctrl+C 会向主进程发送 SIGINT，可能导致容器直接停止。如果想退出会话但不影响容器，应该按 Ctrl+P 再按 Ctrl+Q（先按P和Q的组合，松开后再操作），这是Docker提供的分离快捷键。
attach 的典型适用场景是调试一个卡住的交互式容器，或者需要实时观察主进程输出的场合。如果只是想看看文件、改改配置，请优先使用 exec，避免误操作把主进程杀掉。可以在 attach 时加上 --sig-proxy=false 参数，禁止信号代理，这样即使按 Ctrl+C 也不会把信号透传给容器主进程。
三、nsenter：从宿主机直接切入命名空间
nsenter 是 util-linux 提供的工具，全称是 namespace enter，意为进入指定的命名空间执行命令。它不依赖Docker客户端，而是直接在宿主机层面切换进程的命名空间，属于更底层也更强硬的手段。
使用前需要先拿到容器主进程在宿主机上的PID：
PID=$(docker inspect -f '{{.State.Pid}}' mynginx)
nsenter -t $PID -m -u -i -n -p /bin/bash参数 -t 指定目标进程，后面的 -m、-u、-i、-n、-p 分别表示进入挂载、UTS、IPC、网络和PID命名空间。执行成功后，你得到的Shell和 exec 的效果几乎一致，但绕过了Docker守护进程的权限检查链路。
这种方式的价值在于：当容器里没有任何Shell可用（比如基于scratch构建的超精简镜像），exec 和 attach 都无计可施时，nsenter 依然可以利用宿主机上的 bash 进入容器的文件系统进行排查。此外，nsenter 在排查容器网络问题时也很方便，可以只在 -n 参数下进入网络命名空间，执行 ip addr、tcpdump 等命令而不启动完整Shell。
四、进不去容器时的排查思路
实际操作中最常见的问题不是命令不会用，而是报错 OCI runtime exec failed 或者提示容器未运行。首先要确认容器的状态：
docker ps -a | grep mynginx
exec 和 attach 都要求容器处于运行状态。如果发现容器几秒前就退出了，那进不去是正常的，先查退出原因：
docker logs --tail 100 mynginx
日志里通常能看到主进程崩溃的原因，比如配置文件语法错误、端口被占用、依赖缺失等。修好问题重新启动容器后，再执行 exec 即可。
另一种情况是镜像里真的没有Shell。此时可以考虑临时拷贝文件出来排查：docker cp mynginx:/app/config.yml ./，在宿主机上检查配置；或者用 nsenter 方案进入文件系统。长期来看，构建调试用的镜像时建议保留 busybox 或安装 bash，运维体验会好很多。
最后提一个便捷技巧：如果容器以 root 运行但仍提示权限问题，检查是否加了 --user 参数强制切换了用户；反过来，如果需要以 root 身份进入一个以普通用户运行的容器，可以显式指定：docker exec -it -u root mynginx /bin/bash，这在修改容器内文件属主、安装临时调试工具时非常实用。
五、方法对比与选择建议
把三种方式放在一起对比，差异一目了然：
| 方式 | 是否新建进程 | 退出影响 | 适用场景 |
|---|---|---|---|
| docker exec | 是 | 不影响容器 | 日常查看、调试、执行命令，首选 |
| docker attach | 否，挂接主进程 | Ctrl+C可能停止容器 | 观察主进程输出、调试交互式容器 |
| nsenter | 是（宿主机进程） | 不影响容器 | 容器无Shell、底层网络排查 |
总结成一句话：日常用 exec，观察日志用 attach（记得用Ctrl+P Ctrl+Q退出），容器里没有Shell时请出 nsenter。掌握这三个工具的边界，加上状态与日志的排查套路，绝大多数“进不去容器”的问题都能迎刃而解。
Docker容器docker execdocker attach修改时间：2026-09-05 20:04:51