Azure容器化WordPress每日丢失文件系统访问权限求助

针对你遇到的Azure App Service Docker容器内WordPress每日固定时段丢失文件系统权限、自动重启无效的问题，给出以下具体排查和解决方向：

1. 容器内部权限配置加固 #

• 确保Docker镜像中WordPress进程运行用户（默认www-data）对网站目录拥有持续读写权限：
  • 在Dockerfile中添加权限赋值命令，且需放在文件复制操作之后：

    RUN chown -R www-data:www-data /var/www/html
    

  • 自定义容器启动脚本（entrypoint），每次容器启动时自动修复目录权限，避免权限被意外覆盖：

    chown -R www-data:www-data /var/www/html/wp-content
    exec apache2-foreground
    

2. 排查Azure存储挂载异常 #

• 如果使用了Azure Storage挂载持久化wp-content等目录，排查存储账户配置：
  • 检查存储账户的访问密钥、SAS令牌是否存在每日自动轮转或权限过期的设置；
  • 临时切换为容器内部存储（不挂载外部存储）进行测试，验证是否是外部存储导致的权限波动。

3. 修复自动重启触发策略 #

• 原自动重启未生效，大概率是触发条件配置不合理，建议配置自定义健康探测：
  • 编写简单的权限检测PHP脚本（命名为health-check.php），放在网站根目录：

    <?php
    $testPath = '/var/www/html/wp-content';
    $testFile = $testPath . '/health-test.tmp';
    // 尝试写入文件检测权限
    if (file_put_contents($testFile, 'ok') !== false) {
        unlink($testFile);
        http_response_code(200);
        echo 'Healthy';
    } else {
        http_response_code(500);
        echo 'Permission Failed';
    }
    ?>
    

  • 在Azure App Service的「监控」→「健康检查」中，设置探测路径为/health-check.php，当探测返回500状态码时自动重启实例。

4. 排查定时任务影响 #

• 检查WordPress内部定时任务（WP Cron）：使用WP-CLI执行wp cron event list，筛选上午时段的任务，排查是否有备份、插件更新、清理类任务修改了文件权限；
• 检查Azure App Service的定时操作：确认是否有每日上午执行的缩放、备份、镜像更新等操作，这些操作可能导致容器重启或存储权限重置。

5. 日志定位根因 #

• 开启容器实时日志流：在App Service的「监测」→「日志流」中查看容器运行日志，重点关注权限丢失时段的Permission denied类错误；
• 开启WordPress调试日志：在wp-config.php中添加以下配置，生成的日志会存放在wp-content/debug.log，用于定位具体的文件写入失败场景：

  define('WP_DEBUG', true);
  define('WP_DEBUG_LOG', true);
  define('WP_DEBUG_DISPLAY', false);
  

6. 容器镜像优化 #

• 避免直接使用官方WordPress镜像的默认配置，自定义镜像时明确指定运行用户为www-data，并确保所有网站目录的权限归属正确；
• 禁止以root用户运行容器，Azure App Service支持非root容器运行，可避免权限继承冲突。

内容的提问来源于stack exchange，提问作者deflator