使用主机用户运行Docker容器时的权限错误解决咨询

我通过Dockerfile部署FastAPI服务，Dockerfile内容如下：

RUN useradd -m developer
RUN chown -R developer:developer /app
RUN chmod 777 /home/developer && setfacl -d -m u::rwx,g::rwx,o::rwx /home/developer 
USER developer
WORKDIR /app

容器可正常构建，但我需要以主机用户运行容器（必须保留主机部分目录的权限）。当前服务的Logger类需在容器内/home/developer/.logs目录写入file.log，却触发权限错误：

PermissionError: [Errno 13] Permission denied: '/.logs'

已尝试为日志目录设置777权限、挂载该目录，但问题仍存在。请问如何以主机用户运行容器且避免权限错误？

1. 修正日志路径配置 #

错误提示指向'/.logs'，说明Logger的路径配置有误，它尝试在根目录/下创建.logs目录，而非预期的/home/developer/.logs。

• 检查代码中Logger的路径设置，确保使用绝对路径/home/developer/.logs/file.log；
• 或使用基于当前用户HOME目录的相对路径（如~/.logs/file.log），确保路径解析正确。

2. 动态适配主机用户ID/组ID #

以主机用户运行容器时，容器内developer用户的UID/GID和主机用户不匹配，是权限问题的核心原因，可通过两种方式解决：

方法A：构建镜像时动态匹配用户ID #

修改Dockerfile，允许构建时传入主机用户的UID/GID，生成与主机用户匹配的容器用户：

ARG USER_ID=1000
ARG GROUP_ID=1000

# 创建与主机匹配的用户组和用户
RUN groupadd -g ${GROUP_ID} developer && \
    useradd -u ${USER_ID} -g developer -m developer

RUN chown -R developer:developer /app
# 提前创建日志目录并设置权限
RUN mkdir -p /home/developer/.logs && chown -R developer:developer /home/developer/.logs

WORKDIR /app
USER developer

构建镜像时传入主机用户的UID和GID：

# 获取当前主机用户的UID和GID
HOST_UID=$(id -u)
HOST_GID=$(id -g)

docker build --build-arg USER_ID=${HOST_UID} --build-arg GROUP_ID=${HOST_GID} -t fastapi-app .

方法B：运行容器时指定用户ID #

无需修改Dockerfile，直接在docker run时指定主机用户的UID/GID，同时挂载主机日志目录：

# 获取主机用户UID/GID
HOST_UID=$(id -u)
HOST_GID=$(id -g)

# 提前在主机创建日志目录
mkdir -p /host/path/to/logs

# 运行容器，指定用户并挂载目录
docker run -d \
  -u ${HOST_UID}:${HOST_GID} \
  -v /host/path/to/logs:/home/developer/.logs \
  fastapi-app

注意：确保主机上的/host/path/to/logs目录归当前主机用户所有，拥有可读写权限。

3. 确保容器内日志目录存在 #

在Dockerfile或启动脚本中提前创建日志目录，避免运行时因目录不存在导致的权限问题：

• 在Dockerfile添加：

RUN mkdir -p /home/developer/.logs && chmod 755 /home/developer/.logs

• 或使用启动脚本（如entrypoint.sh）：

#!/bin/bash
# 确保日志目录存在
mkdir -p ~/.logs
# 启动FastAPI服务
exec uvicorn main:app --host 0.0.0.0 --port 8000

内容的提问来源于stack exchange，提问作者Marcos Mussio