@medvedych безопасней, если «публикация» порта сервиса не планируется, в самом докере его вешать на «127.0.0.1:8080:8080»

Тогда докер просто не будет слушать этот порт на интерфейсах, отличных от loopback’а