将WebDAV挂载作为Docker卷时出现Permission denied错误

环境信息 #

• 主机系统：Ubuntu 22.04.3 LTS
• Docker版本：26.0.0
• 挂载工具：davfs2

问题复现命令及输出 #

# ls -ld /mnt/yandex_webdav
drwxrwxrwx 4 root root 424 Jul 13 09:03 /mnt/yandex_webdav

# docker run -d --name labelstudio -v /mnt/yandex_webdav:/tmp/yandex_webdav heartexlabs/label-studio:latest

# docker exec -it labelstudio ls -la /tmp/yandex_webdav
ls: cannot open directory '/tmp/yandex_webdav': Permission denied

# docker exec -it labelstudio ls -ld /tmp/yandex_webdav
drwxrwxrwx 4 root root 424 Jul 13 09:03 /tmp/yandex_webdav

可能的原因及解决方法 #

1. davfs2挂载缺少allow_other选项 #

davfs2默认仅允许执行挂载操作的用户访问挂载目录，即使目录权限设为777，其他用户（包括容器内进程）也无法访问。

解决步骤：

• 查看当前挂载选项：

  mount | grep yandex_webdav
  

• 如果输出中没有allow_other，重新挂载并添加该选项：

  umount /mnt/yandex_webdav
  mount -t davfs -o allow_other,file_mode=0777,dir_mode=0777 [你的WebDAV地址] /mnt/yandex_webdav
  

• 若要永久生效，编辑/etc/fstab添加以下行：

  [你的WebDAV地址] /mnt/yandex_webdav davfs rw,user,allow_other,file_mode=0777,dir_mode=0777 0 0
  

  执行mount -a应用配置。

2. 容器以非root用户运行 #

Label Studio镜像默认可能以非root用户启动，即使挂载目录权限为777，容器内非root用户可能因davfs2的权限映射无法访问。

验证及解决：

• 查看镜像默认运行用户：

  docker inspect heartexlabs/label-studio:latest | grep User
  

• 若为非root用户，可临时以root身份运行容器测试：

  docker run -d --name labelstudio --user root -v /mnt/yandex_webdav:/tmp/yandex_webdav heartexlabs/label-studio:latest
  

• 若测试有效，建议调整davfs2挂载的uid/gid参数，匹配容器用户的UID/GID：

  mount -t davfs -o allow_other,uid=1000,gid=1000 [你的WebDAV地址] /mnt/yandex_webdav
  

  （替换1000为容器用户实际UID/GID）

3. AppArmor安全限制 #

Ubuntu默认启用AppArmor，可能阻止容器访问WebDAV挂载目录。

解决步骤：

• 添加--security-opt apparmor:unconfined参数运行容器：

  docker run -d --name labelstudio --security-opt apparmor:unconfined -v /mnt/yandex_webdav:/tmp/yandex_webdav heartexlabs/label-studio:latest
  

• 若临时生效，可考虑为容器创建自定义AppArmor规则，避免全局禁用安全策略。

内容的提问来源于stack exchange，提问作者Paul Serikov