Go通过docker/client SDK调用Docker API管理容器：需root权限访问docker.sock，正确处理镜像拉取流、日志解析及健康检查轮询，优先使用Docker原生restart policy。
Go 语言本身不直接“管理 Docker 容器”，而是通过调用 docker CLI 或对接 docker.sock 的 HTTP API 实现自动化运维。真正可行、生产可用的方式是使用官方 SDK：github.com/docker/docker/api/types 及其配套客户端 github.com/docker/docker/client。
用 docker/client 连接本地 Docker Daemon
默认情况下，Docker 守护进程监听 unix:///var/run/docker.sock。Go 程序需以 root 或 docker 用户组权限运行，否则会报错 permission denied while trying to connect to the Docker daemon socket。
实操要点：
- 导入客户端：
import "github.com/docker/docker/client" - 初始化 client：使用
client.NewClientWithOpts(client.FromEnv, client.WithAPIVersionNegotiation())最稳妥，它自动读取DOCKER_HOST和DOCKER_API_VERSION环境变量 - 若硬编码连接，用
client.NewClientWithOpts(client.WithHost("unix:///var/run/docker.sock"), client.WithAPIVersionNegotiation()) - 务必检查
cli.Ping(ctx)是否返回 nil，避免后续操作 panic
拉取镜像并创建容器（带错误处理）
常见误区是直接调用 ImagePull 后立刻 ContainerCreate，但 ImagePull 返回的是一个 io.ReadCloser 流，需消费完才能确保镜像就绪；否则可能遇到 No such image 错误。
立即学习“go语言免费学习笔记（深入）”；
正确做法：
- 用
cli.ImagePull(ctx, "nginx:alpine", types.ImagePullOptions{})获取响应流 - 用
json.NewDecoder(resp).Decode(&pullEvent)持续读取直到出现"status": "Download complete"或"status": "Already exists" - 再调用
cli.ContainerCreate(...)，注意Config.Image必须与拉取的镜像名完全一致（含 tag） -
HostConfig.NetworkMode设为"bridge"或"host"，别留空，否则默认是"default"，但部分 Docker 版本不认这个字符串
resp, _ := cli.ImagePull(ctx, "redis:7-alpine", types.ImagePullOptions{})
defer resp.Close()
decoder := json.NewDecoder(resp)
for {
var event map[string]interface{}
if err := decoder.Decode(&event); err != nil {
break
}
if status, ok := event["status"].(string); ok && (status == "Download complete" || status == "Already exists") {
break
}
}
实时获取容器日志并过滤关键字
用 ContainerLogs 默认返回 raw stream，每条日志前带 8 字节头（含日志类型、长度），直接读会乱码。必须用 types.ContainerLogsOptions{Follow: true, ShowStdout: true, Timestamps: true} 并配合 stdcopy.StdCopy() 解包。
关键细节：
- 不要用
io.Copy(os.Stdout, logs)—— 它不解析日志头，输出不可读 - 改用
stdcopy.StdCopy(os.Stdout, os.Stderr, logs)（需导入github.com/moby/stdcopy） - 若需行级过滤（如只打印包含
"ERROR"的日志），应先用bufio.Scanner按行拆分，再匹配；不能在 raw stream 上做字符串搜索 - 注意
Follow: true时，logs是长连接，需显式ctx控制超时或取消
容器健康检查失败时自动重启的边界问题
Docker 原生支持 HealthCheck，但 Go SDK 不提供“监听健康状态变更”的事件接口。所谓“自动重启”必须轮询 + 判断 + 主动操作，容易引发竞争和重复触发。
实际建议：
- 优先用 Docker 自身的 restart policy（如
on-failure:5），由 daemon 层保障，比应用层轮询更可靠 - 若必须用 Go 控制，轮询间隔不得小于
HealthCheck.Interval（例如设为 30s，则轮询至少 45s 一次），否则可能拿到过期状态 - 检查健康状态用
cli.ContainerInspect(ctx, id)，读取Health.Status字段，值为"healthy"/"unhealthy"/"starting" - 重启前先
ContainerStop，等待几秒再ContainerStart，避免container is not running报错
真正的难点不在代码怎么写，而在于如何区分“临时网络抖动导致健康检查失败”和“进程已彻底卡死”。这需要结合日志上下文、资源指标（cgroups）、甚至外部探针，纯靠 Health.Status 做决策风险很高。
