Docker 28.0.2版本发布：关键修复与网络优化深度解析

Docker作为当今最流行的容器化平台之一，其28.0.2版本的发布带来了多项重要修复和功能优化。本文将深入剖析这一版本的技术亮点，帮助开发者更好地理解和使用Docker的最新功能。

核心修复与性能优化

28.0.2版本针对多个关键问题进行了修复，特别是在容器管理和性能方面做出了显著改进。在Windows环境下，修复了当存在v28.0.0之前创建的容器时可能导致守护进程启动失败的问题。对于使用大量容器的用户，containerd镜像存储的性能得到了提升，显著改善了docker ps命令在大规模容器环境下的响应速度。

日志处理方面，修复了守护进程日志中可能出现的"io: read/write on closed pipe"错误，使日志输出更加整洁。同时，containerd镜像存储还修复了通过--user传递用户ID时可能出现的整数溢出问题，增强了安全性。

网络子系统重大改进

网络功能是28.0.2版本的重点优化领域。新增了DOCKER_INSECURE_NO_IPTABLES_RAW环境变量，为那些Linux内核不支持CONFIG_IP_NF_RAW的系统提供了运行Docker的可能性，虽然这降低了安全性，但为特定环境提供了灵活性。

网络转发功能得到了多项修复：

• 修复了可能导致docker-proxy停止向容器转发UDP数据报的问题
• 解决了docker-proxy过早关闭UDP连接导致源地址不必要变化的问题
• 允许在父接口关闭的情况下，容器仍能成功附加到macvlan网络
• 确保在gateway_mode=routed网络中不会跳过DNAT处理

此外，docker ps命令现在能够更一致地报告双栈端口映射，解决了之前版本中存在的不一致问题。

安全增强与兼容性改进

安全方面，28.0.2版本默认屏蔽了容器内/proc和sys中的Linux热中断信息，减少了潜在的信息泄露风险。同时更新了contrib/check-config.sh脚本，增加了对iptables相关内核模块的检查，帮助用户更好地配置系统环境。

兼容性方面，修复了守护进程过早失败的问题，现在当containerd套接字不可用时，守护进程会更有弹性地处理这种情况。containerd镜像存储还消除了关于"application/vnd.in-toto+json"类型引用的虚假警告，使日志更加清晰。

组件更新与SDK变更

28.0.2版本包含了多个核心组件的更新：

• BuildKit升级至v0.20.1
• Buildx更新至v0.22.0
• Compose升级至v2.34.0
• Go运行时更新至1.23.7
• RootlessKit升级至v2.3.4
• containerd静态二进制文件更新至v1.7.27

在Go SDK方面，进行了多项重构和弃用：

• 将各种类型和常量从cli-plugins/manager移动到单独的包
• 最低Go版本要求提升至1.23
• 多项功能被标记为弃用，包括cli-plugins/manager.ResourceAttributesEnvvar、opts.PortOpt等
• 移除了service/logs包
• 重构了信任相关功能，将PushTrustedReference移至cli/trust

总结

Docker 28.0.2版本虽然是一个维护性更新，但包含了多项重要修复和优化，特别是在网络功能和性能方面。这些改进使Docker在稳定性、安全性和兼容性上都得到了提升。对于开发者而言，了解这些变化有助于更好地利用Docker的功能，同时避免潜在的问题。随着容器技术的不断发展，Docker团队持续优化产品，为用户提供更加强大和可靠的工具链。