если код (не изменяется) - только при передеплое - запекать в образ

если данные - они вообще ни в вольюме, ни в образе не должны быть, а на внешнем хранилище типа S3

по возможности

Я просто режистри не пользуюсь, прям там docker-compose up -d нельзя?

можно, но выглядит грязно

docker service update --network-add host  <SERVICENAME>
container cannot be disconnected from host network or connected to host ne
Почему? Я по прежнему пытаюсь простейшим способом сказать запущенному сервису что бы он увидел локалхост.
Там хранится бд, контейнер уже запущен,  ним пользуются, там тоже есь бд и записанные файлы которые я не хочу трогать.
Есть какой-то способ с минимальными усилиями указать уже запущенному сервису что бы он увидел host?

Ответ - мне такой способ неизвестен

Ты можешь извратнуться через socat в отдельном контейнере, но это выглядит большим извратом, чем попросту пересоздать контейнер с нужными параметрами

Понял, спасибо.

Вопрос: для xdebug в xdebug.remote_host надо вставлять адрес контейнера, где сам xdebug, или ip nginx сервера? (они в разных контейнерах)

Вопрос решен - ip контейнера с xdebug

Вопрос: как оптимально решить вопрос с правами внутри и снаружи контейнера?

Никак. Я серьезно. То что нужно сохранять между запусками - кидаешь в вольюм. И никогда больше а нем права не меняешь

Если есть возможность - прикручиваешь внешнее хранилище типа с3

Они могут съехать, если, например, изначальный образ на убунту, а потом ты катнулся на эльпайн

++
Одна из основных проблем докера

У коллеги на маке docker-sync ругается просто на права внутри контейнера при синхронизации. Вот я и подумал, что надо бы везде запидалить одного пользователя. А, как оказывается , такого сделать низя :(

Вообще, чем больше погружаюсь в докер, тем больше он косячный какой-то :(

Ну, сорри, просто контекст потерял

Да, все так

Касательно докер синк - надо происследовать вопрос с правами