Podman部署openSUSE Nginx+PHP-FPM容器权限异常求助

可能的原因 #

1. 文件权限不匹配：Web根目录下的PHP文件所属用户/组与PHP-FPM运行的nginx用户不一致，且未授予其他用户读权限；若使用主机目录挂载，主机文件的UID/GID与容器内nginx用户的UID/GID不匹配，导致权限拒绝。
2. Podman用户命名空间映射：Podman默认启用用户命名空间隔离，容器内的nginx用户会被映射为主机的非特权用户，若主机挂载目录未对该映射用户开放权限，会引发访问拒绝。
3. AppArmor限制：主机的AppArmor规则可能限制了PHP-FPM进程对挂载文件的访问权限（虽然静态文件可访问，但需排除此可能）。

解决步骤 #

1. 验证容器内文件权限与用户存在性 #

• 进入PHP-FPM容器，检查nginx用户是否存在：

  podman exec -it <php-fpm容器名> getent passwd nginx
  

  确认输出包含nginx用户的UID、GID信息（例如nginx:x:101:101:Nginx web server:/var/lib/nginx:/sbin/nologin）。
• 查看Web根目录下PHP文件的权限：

  podman exec -it <php-fpm容器名> ls -l /path/to/webroot/index.php
  

  确保文件对nginx用户有读权限：
  • 若文件所属用户不是nginx，执行：

    podman exec -it <php-fpm容器名> chown -R nginx:nginx /path/to/webroot
    

  • 若无法修改所属用户（如挂载主机目录），临时开放其他用户读权限测试：

    podman exec -it <php-fpm容器名> chmod -R o+r /path/to/webroot
    

2. 同步主机与容器的UID/GID（针对挂载目录场景） #

• 获取容器内nginx用户的UID和GID：

  podman exec -it <php-fpm容器名> id -u nginx  # 输出UID，如101
  podman exec -it <php-fpm容器名> id -g nginx  # 输出GID，如101
  

• 在主机上修改挂载目录的权限，让容器内nginx用户对应的UID/GID拥有访问权限：

  sudo chown -R 101:101 /主机上的Web根目录路径
  

  或使用ACL更灵活地授权：

  sudo setfacl -R -m u:101:rwx /主机上的Web根目录路径
  

3. 调整Podman用户命名空间配置 #

• 在podman-compose.yml的PHP-FPM服务中，指定运行用户为容器内nginx的UID:GID：

  services:
    php-fpm:
      # 其他配置...
      user: "101:101"  # 替换为实际的UID:GID
  

• 重启容器：

  podman-compose down && podman-compose up -d
  

4. 排查AppArmor限制 #

• 临时切换AppArmor为投诉模式（仅记录不阻止）测试：

  sudo aa-complain /etc/apparmor.d/usr.bin.podman
  

• 重启容器后访问PHP页面，若恢复正常，需修改AppArmor规则以允许PHP-FPM访问文件：
  编辑/etc/apparmor.d/usr.bin.podman，添加针对Web根目录的权限规则：

  /主机上的Web根目录路径/** rw,
  

  然后重新加载规则：

  sudo apparmor_parser -r /etc/apparmor.d/usr.bin.podman
  

总结 #

最常见的原因是文件权限不匹配或Podman用户命名空间映射导致的权限隔离，优先排查这两项。若以上步骤仍未解决，可检查PHP-FPM的www.conf配置是否正确（确认user = nginx、group = nginx无拼写错误），以及Nginx是否正确将PHP请求转发到PHP-FPM。

内容的提问来源于stack exchange，提问作者presire