ENTRYPOINT 适合定义容器的主程序确保行为一致，CMD 适合提供默认参数便于灵活覆盖，生产环境推荐两者配合使用。

命令速用版

下面是可直接参考的 Dockerfile 写法示例：

CMD 单独使用（可被覆盖）：

FROM centos:7
CMD ["ls", "-a"]

运行 docker run 时加参数会替换 CMD：

docker run myimage ls -l  # 执行 ls -l，原 CMD 被替换

ENTRYPOINT 单独使用（参数追加）：

FROM centos:7
ENTRYPOINT ["ls", "-a"]

运行 docker run 时加参数会追加到 ENTRYPOINT 后：

docker run myimage -l  # 执行 ls -a -l，参数被追加

两者配合使用（推荐）：

FROM centos:7
ENTRYPOINT ["ls"]
CMD ["-a"]

默认执行 ls -a，运行时可覆盖 CMD 部分：

docker run myimage -l  # 执行 ls -l，CMD 的-a 被替换为-l

真实业务场景：Python Web 应用部署

在生产环境中，通常使用 ENTRYPOINT 锁定解释器或启动脚本，使用 CMD 传递配置参数。以下是一个 Python Flask 应用的示例：

FROM python:3.9-slim
WORKDIR /app
COPY requirements.txt .
RUN pip install `--no-cache-dir` -r requirements.txt
COPY . .
ENTRYPOINT ["python", "app.py"]
CMD ["`--port`", "8080"]

构建并运行：

docker build -t myweb:1.0 .
docker run -d -p 8080:8080 myweb:1.0

如需修改端口，直接覆盖 CMD 参数：

docker run -d -p 9000:9000 myweb:1.0 `--port` 9000

为什么会这样

ENTRYPOINT 和 CMD 都用于指定容器启动时执行的命令，但设计目的不同。CMD 的主要用途是为容器提供默认执行行为，相当于一个可被替换的默认值。当用户在 docker run 命令后面指定了命令时，CMD 中定义的默认命令会被新指定的命令完全替换。

ENTRYPOINT 则用于定义容器镜像的主要执行命令，确保容器始终按照预期的方式运行。docker run 后面的参数不会被用来替换 ENTRYPOINT，而是作为参数追加到 ENTRYPOINT 指定的程序后面。这种设计让 ENTRYPOINT 更适合定义容器的核心功能，比如让容器始终执行某个应用程序。

当两者同时存在时，CMD 的内容会被视为 ENTRYPOINT 的默认参数。这样既保证了容器启动时总是执行预期的程序，又可以通过命令行参数灵活调整行为。

分步处理

步骤 1：确定容器用途

先判断你的容器是用来运行固定服务还是提供灵活命令。如果是 Web 服务器、数据库等需要始终运行同一程序的服务，优先使用 ENTRYPOINT。如果是工具类镜像需要提供多种命令选项，可以单独使用 CMD 或两者配合。

步骤 2：编写 Dockerfile

使用 exec 格式（JSON 数组）而非 shell 格式，这样参数传递更准确：

ENTRYPOINT ["/usr/bin/python3", "app.py"]
CMD ["`--port`", "8080"]

避免写成 shell 格式，除非确实需要 shell 特性：

# 不推荐，除非需要 shell 解析
ENTRYPOINT python3 app.py

步骤 3：构建镜像

docker build -t myapp:1.0 .

步骤 4：运行测试

先不加参数运行，确认默认行为：

docker run myapp:1.0

再加参数运行，确认参数传递是否符合预期：

docker run myapp:1.0 `--port` 9000

步骤 5：需要覆盖 ENTRYPOINT 时

如果确实需要临时覆盖 ENTRYPOINT，使用 `--entrypoint` 参数：

docker run `--entrypoint` /bin/bash -it myapp:1.0

怎么验证是否生效

运行容器后可以通过以下方式确认命令执行情况：

检查容器输出：

docker run myimage
docker logs <container_id>

进入容器查看进程：

docker exec -it <container_id> ps aux

测试参数覆盖：

对于 CMD 镜像，加参数后原命令应被替换：

docker run cmd-test ls -l  # 原 CMD 被替换

对于 ENTRYPOINT 镜像，加参数后应追加：

docker run entrypoint-test -l  # 参数追加到 ENTRYPOINT 后

查看镜像配置：

docker inspect myimage | grep -A 5 Entrypoint
docker inspect myimage | grep -A 5 Cmd

常见坑

坑 1：CMD 被意外覆盖

如果只使用 CMD，docker run 后面随便加参数都会替换掉 CMD 定义的命令。比如 CMD 定义的是启动服务，但运行时不小心加了其他命令，服务就不会启动。生产环境建议用 ENTRYPOINT 锁定主程序。

坑 2：参数格式混淆

shell 格式和 exec 格式行为不同。shell 格式会经过/bin/sh -c 解析，exec 格式直接执行程序。推荐统一使用 exec 格式（JSON 数组），避免 shell 解析带来的意外行为。

坑 3：多个指令只有最后一个生效

Dockerfile 中可以写多条 CMD 或 ENTRYPOINT，但只有最后一条生效。如果不小心写了多条，前面的会被忽略，可能导致预期行为不一致。

坑 4：ENTRYPOINT 难以调试

ENTRYPOINT 不容易被覆盖，调试时可能需要进入容器。记得可以用 `--entrypoint` /bin/bash 临时覆盖，方便排查问题。

坑 5：参数传递顺序

当 ENTRYPOINT 和 CMD 配合使用时，docker run 后面的参数会替换 CMD 部分，而不是追加到整个命令后面。理解这个顺序对正确传递参数很重要。