服务：docker的rootful和rootless困惑

一句话结论

rootful 与 rootless 不是“模式开关”，而是两个完全独立的 docker daemon（各自一套 socket、数据目录、镜像与容器，互不共享）。维护时第一件事不是“docker 坏了吗”，而是先确认你在跟哪一个 daemon 说话 —— 本机（max2-nixos）自 2026-10-11 起为 rootless-only，rootful 已不启用。

一、两者差异对照（客观项）

二、第一判据：现在到底在跟哪个 daemon 说话

① 数据目录（最直接、不受环境变量影响）：
   docker info --format '{{.DockerRootDir}}'
     · /home/cat/.local/share/docker  ⇒ rootless
     · /var/lib/docker                ⇒ rootful

② 客户端去哪连（环境变量决定）：
   echo "$DOCKER_HOST"
     · unix:///run/user/1000/docker.sock 或 $XDG_RUNTIME_DIR/docker.sock ⇒ rootless
     · 空（未设）⇒ 默认找 /var/run/docker.sock ⇒ 只有 rootful 在跑时才通

③ 看 daemon 进程属主：
   ps -eo user,pid,args | grep -E 'dockerd|rootlesskit' | grep -v grep
     · 属主 root 的 dockerd ⇒ rootful；属主是普通用户 + rootlesskit ⇒ rootless

④ 看容器归哪个 slice：
   cat /proc/$(docker inspect -f '{{.State.Pid}}' 容器名)/cgroup | head -1
     · /system.slice/... ⇒ rootful；/user.slice/user-1000.slice/... ⇒ rootless

三、本机现状（max2-nixos，2026-10-11 实测）

四、故障 → 根因 → 对应动作（维护常用）

五、日常维护动作

看占用与可回收：
  docker system df                  # 镜像/容器/卷/构建缓存四类
  du -sh ~/.local/share/docker      # rootless 数据目录真实占用
  sudo du -sh /var/lib/docker       # 另一套（若存在，说明跑过 rootful）

清理（按危险度递增）：
  docker system prune            # 删停止的容器 + 悬空镜像 + 无主网络
  docker system prune -a         # ⚠ 连未被容器引用的镜像一起删
  docker image prune             # 只清镜像

看当前跑的实例（不依赖 compose 目录）：
  docker ps --format '{{.Names}}	{{.Status}}	{{.Ports}}'

看 compose 项目（需在项目目录或 -f 指定）：
  docker compose ps / docker compose logs -f

重启某个 daemon（会连带重启它名下所有容器，含代理类容器）：
  systemctl --user restart docker.service    # rootless（本机在用的）
  systemctl restart docker.service           # rootful（本机已不启用）

六、rootless 的能力边界（以本机实例为证）

七、易踩的坑（本机真实发生过的）

八、相关笔记

• 「服务：nix收敛代理配置」xi6ugMzM4rB0 —— mihomo 容器跑在本机 docker 上，代理故障的 30 秒定位手册在那里