Если для контейнера базы нужен сетевой доступ, что нужно сделать?

Сначала определите, откуда нужен доступ: из другого контейнера, с хоста или извне. В общей Docker-сети обычно используют имя сервиса, а для доступа через хост публикуют порт.

Публикация порта не заменяет настройку самой БД: она должна слушать нужный интерфейс и разрешать соответствующего пользователя и источник. Для локальной работы привязывайте published port к loopback, а удалённый административный доступ организуйте через защищённую сеть или туннель. Настройте firewall и TLS по модели угроз. Контейнерный IP может меняться, поэтому приложение не должно опираться на вручную запомненный адрес. EXPOSE не открывает порт автоматически.