DockerClient连接失败多因/var/run/docker.sock权限不足：先用systemctl is-active docker和docker info确认服务运行但客户端无法通信，再检查socket属组是否为docker且权限为srw-rw----，最后将用户加入docker组并重新登录验证。
当 DockerClient 连接失败时，多数情况并非网络或服务问题，而是本地 Unix socket 文件权限不足导致客户端无法访问 /var/run/docker.sock。
确认 Docker 服务是否正常运行
先排除基础服务异常：
- 执行
systemctl is-active docker检查服务状态，返回active表示运行中 - 运行
docker info，若提示Cannot connect to the Docker daemon，说明客户端无法通信，但服务本身可能仍在运行 - 用
sudo docker info测试——若能成功，基本可锁定为权限问题
检查 /var/run/docker.sock 文件权限与所属组
该 socket 文件默认由 root 创建，且属组为 docker。普通用户需属于该组并有读写权限才能直连：
- 运行
ls -l /var/run/docker.sock，典型输出应为：srw-rw---- 1 root docker 0 ... /var/run/docker.sock - 若属组不是
docker，或权限不含rw（如显示srw-------），则非 root 用户无法访问 - 注意：该文件每次 Docker 服务重启会重建，所以临时 chmod 不持久，需配合组管理和服务配置
将用户加入 docker 组并验证
这是最常用、最安全的修复方式：
- 执行
sudo usermod -aG docker $USER，把当前用户加入docker组 - 退出当前终端，重新登录（或运行
newgrp docker刷新组权限） - 再执行
groups确认输出中包含docker；然后运行docker ps验证是否无需 sudo - ⚠️ 注意：不要直接给 socket 文件加 666 权限，这会带来安全风险
检查 Docker 服务配置是否覆盖了 socket 权限
某些定制化部署（如通过 systemd drop-in 或 rootless 模式）可能修改了 socket 创建行为：
- 查看
systemctl show --property=ExecStart docker，确认启动命令是否含--group或自定义socket路径 - 检查
/etc/docker/daemon.json是否存在"group": "xxx"配置，该字段指定 socket 所属组（Docker 20.10+ 支持） - 若使用 rootless Docker，则 socket 默认位于
$XDG_RUNTIME_DIR/docker.sock，路径和权限机制完全不同，需单独适配客户端连接地址
