[NS : Cliang] Docker 开了 UFW，容器端口为什么还能从公网访问？附自查方法

给自建服务做防火墙时，容易出现一个误判：UFW只放行了SSH、80、443，于是认为容器的管理端口也被挡住了。但在LinuxDocker常见的bridge端口发布场景里，容器流量经过的路径和宿主机普通进程不同。Docker官方文档明确说明，发布端口的流量可能在进入UFW使用的INPUT/OUTPUT链之前就被转走。