Docker部署MySQL实战：从环境配置到安全加固

1. 为什么选择Docker部署MySQL

在数据库部署领域，Docker已经成为现代开发者的标准工具。我最初接触Docker部署MySQL是在2016年，当时团队需要快速搭建多个隔离的测试环境。传统安装方式需要反复配置依赖库、调整系统参数，而Docker让我们在几分钟内就能获得一个即开即用的MySQL实例。

Docker的核心优势在于环境隔离和可移植性。每个容器都像是一个轻量级的虚拟机，但启动速度更快、资源占用更小。对于MySQL这样的有状态服务，Docker提供了volume机制来持久化数据，即使容器销毁也不会丢失数据。我在生产环境使用Docker部署MySQL已有三年，期间经历过多次平滑迁移和版本升级，稳定性完全不输传统部署方式。

2. 部署前的准备工作

2.1 环境检查与依赖安装

在开始之前，建议先检查你的Docker环境。执行docker --version和docker-compose --version（如果你使用compose）确认版本。我推荐使用Docker 20.10+版本，它对资源限制和网络配置有更好的支持。

对于Linux系统，还需要检查内核参数：

sudo sysctl vm.overcommit_memory sudo sysctl vm.swappiness

MySQL在容器中运行时，建议将vm.swappiness设置为1-10之间，减少swap使用。我在Ubuntu 20.04上实测发现，这个调整能让查询性能提升5-8%。

2.2 镜像选择策略

官方MySQL镜像有多个变体：

• mysql:latest- 最新GA版本
• mysql:8.0- 特定主版本
• mysql:8.0.28- 精确版本
• mysql:8.0-oracle- Oracle优化版

生产环境我强烈建议锁定小版本号，比如mysql:8.0.28。去年我们曾因为使用mysql:8.0标签导致自动升级到8.0.29，结果遇到了查询优化器的兼容性问题。教训很深刻——永远在生产环境使用精确版本标签！

3. 单实例部署实战

3.1 基础运行命令

最简启动命令如下：

docker run --name mysql_standalone \ -e MYSQL_ROOT_PASSWORD=your_strong_password \ -p 3306:3306 \ -d mysql:8.0.28

但实际生产环境需要更多配置。这是我的标准参数模板：

docker run --name mysql_prod \ --restart unless-stopped \ --memory=4g --cpus=2 \ -e MYSQL_ROOT_PASSWORD=your_strong_password \ -e MYSQL_DATABASE=app_db \ -e MYSQL_USER=app_user \ -e MYSQL_PASSWORD=app_password \ -v /data/mysql/conf:/etc/mysql/conf.d \ -v /data/mysql/data:/var/lib/mysql \ -v /data/mysql/logs:/var/log/mysql \ -p 3306:3306 \ -d mysql:8.0.28 \ --character-set-server=utf8mb4 \ --collation-server=utf8mb4_unicode_ci \ --max_connections=500

关键参数说明：

• --restart unless-stopped：确保容器异常退出后自动重启
• --memory和--cpus：限制资源使用，避免单个容器耗尽主机资源
• 三个-v挂载点：分别用于配置、数据文件和日志的持久化
• 最后的两个--参数：直接传递给MySQL服务端

3.2 配置文件定制

在挂载的配置目录/data/mysql/conf中，我通常会创建custom.cnf文件：

[mysqld] innodb_buffer_pool_size = 2G innodb_log_file_size = 256M innodb_flush_log_at_trx_commit = 2 skip-name-resolve log-bin = mysql-bin binlog_format = ROW

这些配置根据服务器内存调整。经验法则是：

• innodb_buffer_pool_size设为可用内存的50-70%
• innodb_log_file_size设为buffer pool的25%左右
• 对数据安全性要求高的场景，innodb_flush_log_at_trx_commit应该设为1

4. 安全加固措施

4.1 基础安全配置

刚部署的MySQL实例需要立即进行安全加固：

1. 修改root密码（即使已经通过环境变量设置）

   ALTER USER 'root'@'localhost' IDENTIFIED BY 'new_strong_password';

2. 删除测试数据库和匿名用户

   DROP DATABASE IF EXISTS test; DELETE FROM mysql.user WHERE User='';

3. 限制root远程登录（如非必要）

   DELETE FROM mysql.user WHERE User='root' AND Host NOT IN ('localhost', '127.0.0.1');

4.2 网络层防护

在Docker层面可以添加额外防护：

--network my_private_network \ --ip 172.20.0.2 \

我通常会创建一个专属的Docker网络，只允许特定容器访问MySQL：

docker network create --subnet=172.20.0.0/24 my_private_network

5. 日常运维要点

5.1 备份策略

我采用的备份方案组合：

1. 每日全量备份（通过cronjob）：

   docker exec mysql_prod mysqldump -uroot -p"$ROOT_PWD" --all-databases | gzip > /backups/mysql_$(date +%Y%m%d).sql.gz

2. 二进制日志实时备份：

   docker exec mysql_prod mysql -uroot -p"$ROOT_PWD" -e "PURGE BINARY LOGS BEFORE NOW() - INTERVAL 7 DAY;"

3. 定期测试恢复流程（非常重要！）

5.2 性能监控

推荐安装以下工具：

1. mysqladmin基础监控：

   docker exec mysql_prod mysqladmin -uroot -p"$ROOT_PWD" status

2. Prometheus + mysqld_exporter（需要额外配置）
3. 慢查询日志分析：

   slow_query_log = 1 slow_query_log_file = /var/log/mysql/mysql-slow.log long_query_time = 2

6. 常见问题排坑指南

6.1 字符集问题

症状：中文显示为问号 解决方案：

1. 确认容器启动时已设置--character-set-server=utf8mb4
2. 连接字符串添加参数：?charset=utf8mb4
3. 已有数据的表需要转换：

   ALTER TABLE table_name CONVERT TO CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;

6.2 性能突然下降

可能原因：

1. 容器内存不足（检查docker stats）
2. 磁盘空间不足（特别是二进制日志占满空间）
3. 未正确关闭的连接堆积

快速诊断命令：

docker exec mysql_prod mysql -uroot -p"$ROOT_PWD" -e "SHOW FULL PROCESSLIST;" docker exec mysql_prod mysql -uroot -p"$ROOT_PWD" -e "SHOW ENGINE INNODB STATUS\G"

6.3 数据目录权限问题

症状：容器启动失败，日志显示权限拒绝 解决方案：

sudo chown -R 999:999 /data/mysql/data

注意：MySQL容器内默认使用mysql用户（UID 999）运行

7. 升级与迁移方案

7.1 小版本升级

安全升级步骤：

1. 停止当前容器
2. 备份所有数据
3. 使用新版本镜像启动，挂载原有数据卷
4. MySQL会自动执行升级脚本

关键检查点：

SELECT @@version; SHOW STATUS LIKE 'InnoDB_buffer_pool_load_status';

7.2 主机迁移方案

我常用的无损迁移流程：

1. 在新主机部署相同版本的MySQL容器
2. 使用rsync同步数据文件（需短暂停止写入）
3. 检查文件一致性后启动新容器
4. 更新应用连接字符串

实测这个方案对10GB以下的数据库，停机时间可以控制在30秒以内。