权限问题

约 648 字大约 2 分钟

布欧-Lewyon

2026-05-15

容器内外的 UID/GID 映射是持久化时最容易遇到的坑。容器内进程以 root（UID 0）运行，在宿主机上创建的文件归 root 所有；非 root 用户容器可能无法写入挂载的目录。

问题：文件权限不匹配

# 宿主机
ls -la data/
# drwxr-xr-x  user1  user1  4096 May 15 10:00 data/

# 容器内
docker run -v $(pwd)/data:/data alpine touch /data/test.txt
# 容器内 touch 以 root 运行
# 宿主机遇：文件归 root 所有
ls -la data/
# -rw-r--r--  root  root  0 May 15 10:01 test.txt

解决方案

方案一：以特定 UID 运行容器

# 使用 --user 指定 UID
docker run --user 1000:1000 -v $(pwd)/data:/data alpine touch /data/test.txt

# 查看宿主机
ls -la data/
# -rw-r--r--  user1  user1  0 May 15 10:02 test.txt

方案二：修改容器内用户 UID

FROM node:20-alpine
# 创建与宿主机 UID 匹配的用户
RUN addgroup -S appgroup && adduser -S appuser -u 1000 -G appgroup
USER appuser
WORKDIR /app
COPY . .

方案三：容器入口脚本中调整权限

FROM node:20-alpine

RUN addgroup -S appgroup && adduser -S appuser -G appgroup

COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh

ENTRYPOINT ["/entrypoint.sh"]

#!/bin/sh
# entrypoint.sh - 在容器启动时将挂载目录的权限调整为运行用户
chown -R appuser:appgroup /app/data
exec gosu appuser "$@"

方案四：宿主机上调整权限

# 最直接但最不优雅的方法
chmod 777 data/   # 所有用户可写（不推荐）

# 或者
sudo chown -R 1000:1000 data/

Dockerfile 中的 USER 实践

FROM node:20-alpine

# 创建非 root 用户
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

WORKDIR /app

COPY package.json ./
RUN npm ci --only=production && npm cache clean --force

COPY . .

# 如果使用 Bind Mount 开发，在 entrypoint 中调整权限
COPY entrypoint.sh /entrypoint.sh

USER appuser

EXPOSE 3000

ENTRYPOINT ["/entrypoint.sh"]
CMD ["node", "server.js"]

Docker Desktop 上的权限差异

macOS/Windows 上 Docker Desktop 运行在虚拟机中，文件共享通过 gRPC FUSE（macOS）或 Hyper-V（Windows）实现。
Bind Mount 的文件权限在 macOS 上通常以 1000:1000（或默认的 1000:50）呈现。
如果权限错乱，尝试在 Docker Desktop 设置中重置文件共享。

小结

容器内 root 创建的文件在宿主机上归 root 所有，Bind Mount 跨用户共享时需注意 UID 映射。
解决方案：--user UID:GID 指定运行用户、Dockerfile 中创建匹配 UID 的用户、entrypoint 脚本中 chown、宿主机上调整权限。
Dockerfile 中始终使用非 root 用户（USER）运行应用进程。
macOS/Windows Docker Desktop 通过 VM 共享文件，权限行为与纯 Linux 有差异。

上一节：tmpfs 临时挂载下一节：Docker 网络模型