Docker exec 和 attach 有什么区别？进容器该用哪个？

Question

仓乃文 · Accepted Answer

exec 和 attach 都能进入运行中的容器，但行为完全不同。attach 连接到容器的主进程（PID 1），exec 在容器内启动一个新进程。用错命令可能导致容器意外停止。

核心区别：
```
| 维度          | exec                      | attach                   |
|--------------|---------------------------|--------------------------|
| 原理         | 在容器内启动新进程          | 连接到 PID 1 的标准输入输出 |
| 退出方式      | exit 退出，容器继续运行     | Ctrl+C 会导致容器停止！    |
| 多窗口        | 可以开多个 exec 会话       | 多窗口看到相同输出         |
| 用途          | 调试、执行命令（推荐）      | 查看主进程实时输出          |
| 常用命令      | docker exec -it xxx bash  | docker attach xxx         |
```

使用示例：
```bash
# exec：进入容器执行命令（推荐）
docker exec -it myapp sh
# exit 退出后，容器继续运行

docker exec myapp ls /app
# 不进入容器，直接执行命令并返回结果

docker exec myapp cat /etc/hosts
# 查看容器内文件

# attach：连接到主进程
# 适合查看实时日志输出
docker attach myapp
# Ctrl+C → 容器停止！（因为发送 SIGINT 给 PID 1）
# Ctrl+P, Ctrl+Q → 分离，容器继续运行
```

安全退出 attach：
```bash
# 方法 1：Ctrl+P 然后 Ctrl+Q（先按 P 再按 Q）
# 这是 Docker 的分离快捷键，不会发送 SIGINT

# 方法 2：用 --detach-keys 自定义
docker attach --detach-keys="ctrl-x" myapp

# 方法 3：避免用 attach，改用 docker logs
# 查看实时日志更安全
docker logs -f myapp
# Ctrl+C 只停止日志输出，不影响容器
```

常见场景：
```bash
# 场景 1：调试容器内问题
docker exec -it myapp sh
# 进入容器后可以：
ls /app              # 查看文件
cat /app/config.yml  # 查看配置
ping db              # 测试网络
env                  # 查看环境变量

# 场景 2：容器没有 sh/bash
# Alpine 镜像有 /bin/sh
docker exec -it myapp sh
# Debian/Ubuntu 有 /bin/bash
docker exec -it myapp bash
# distroless 镜像没有 shell，无法 exec
# 只能用 docker cp 复制文件出来看
docker cp myapp:/app/config.yml ./config.yml

# 场景 3：查看主进程输出
# 不推荐 attach，用 logs 更安全
docker logs -f --tail 100 myapp
```

补充说明：
- 90% 的情况应该用 exec，不用 attach
- attach 主要用于调试 PID 1 进程的实时输出
- exec -it 中的 -t 分配伪终端，-i 保持标准输入打开，缺一不可
- 规则：进容器用 exec -it，看日志用 logs -f，避免用 attach
- 容器内没有 bash 时用 sh，Alpine 默认只有 sh