rootless Docker Compose下Apache PHP镜像绑定挂载（文件权限）配置咨询

我正尝试实现以下配置：

• 操作系统：Debian系
• Docker镜像：php:7.4-apache
• PHP应用代码在构建时复制到镜像中
• Compose配置：bind mount应用目录下的一个子目录，方便在宿主机上操作

需要在宿主机上bind mount该目录的原因：

1. 复刻无Docker的旧服务器架构
2. 该目录包含客户端专属内容：
   • 配置文件
   • 客户端上传数据
   • 模板文件
   • PHP应用生成的PDF文件（基于模板文件）
3. 支持人员通过SFTP登录宿主机修改/上传文件
4. 备份管理：服务器备份需包含该目录

当前环境限制：

• Docker为rootless模式，用户无sudo权限

尝试过的方案及问题 #

1. 最初尝试在镜像中添加与宿主机同名同ID的用户，将APACHE_RUN_USER和APACHE_RUN_GROUP设为该用户。此方法在常规Root权限Docker环境中可行，但rootless环境下失效（ID会被转换）。
2. 尝试将APACHE_RUN_USER设为root，Apache提示存在高风险。

核心疑问 #

此类场景的最佳实践是什么？

• 我完全控制Docker镜像
• 无法控制Linux及Docker环境（无超级用户权限，固定为rootless模式）

我想到的另一种方案：在宿主机设置SSH代理，在Docker镜像中创建SSH/SFTP登录，将bind mount改为Docker管理卷。

方案1：适配rootless Docker的用户权限映射 #

Rootless Docker会将容器内的UID/GID映射到宿主机的一个非特权UID范围（默认从$UID+65536开始的65536个ID），直接复用宿主机UID会失效。可通过以下步骤调整：

1. 构建镜像时动态适配用户
   在Dockerfile中添加逻辑，允许启动时指定运行Apache的用户UID/GID，而非硬编码：

   FROM php:7.4-apache
   
   # 安装必要工具
   RUN apt-get update && apt-get install -y --no-install-recommends sudo
   
   # 添加可调整的用户
   RUN useradd -m appuser
   RUN echo "appuser ALL=(ALL) NOPASSWD: /usr/sbin/apache2ctl" >> /etc/sudoers.d/appuser
   
   # 复制应用代码
   COPY ./app /var/www/html
   
   # 设置启动脚本
   COPY entrypoint.sh /usr/local/bin/
   RUN chmod +x /usr/local/bin/entrypoint.sh
   ENTRYPOINT ["entrypoint.sh"]
   CMD ["apache2-foreground"]
   

   编写entrypoint.sh脚本，动态调整用户UID/GID并修改文件权限：

   #!/bin/bash
   set -e
   
   # 从环境变量获取宿主机映射后的UID/GID
   APP_UID=${APP_UID:-1000}
   APP_GID=${APP_GID:-1000}
   
   # 修改appuser的UID/GID
   usermod -u $APP_UID appuser
   groupmod -g $APP_GID appuser
   
   # 调整Apache运行目录和应用目录的权限
   chown -R appuser:appuser /var/www/html /var/run/apache2 /var/log/apache2
   
   # 设置Apache运行用户
   echo "export APACHE_RUN_USER=appuser" >> /etc/apache2/envvars
   echo "export APACHE_RUN_GROUP=appuser" >> /etc/apache2/envvars
   
   # 执行原CMD
   exec "$@"
   

2. Compose配置传递UID/GID
   在docker-compose.yml中，通过环境变量传递宿主机当前用户的UID/GID（rootless模式下，Docker会自动映射这个UID到容器内的对应ID）：

   version: '3.8'
   services:
     php-apache:
       build: .
       environment:
         - APP_UID=${UID}
         - APP_GID=${GID}
       volumes:
         - ./client-data:/var/www/html/client-data
       ports:
         - "8080:80"
   

   启动后，容器内的appuser会被调整为映射后的UID/GID，与宿主机bind mount目录的权限匹配，同时Apache以非root用户运行，避免安全风险。

方案2：使用Docker卷+SFTP服务容器（替代bind mount） #

如果bind mount的核心需求是SFTP访问和备份，可以放弃直接bind mount，改用Docker管理卷，同时部署独立的SFTP服务容器挂载同一个卷：

1. Compose配置

   version: '3.8'
   services:
     php-apache:
       build: .
       volumes:
         - client-data:/var/www/html/client-data
       ports:
         - "8080:80"
     sftp:
       image: atmoz/sftp
       volumes:
         - client-data:/home/sftpuser/client-data
       ports:
         - "2222:22"
       command: sftpuser:password:1000:1000
   volumes:
     client-data:
   

2. 备份与权限

   • Docker管理卷默认存储在rootless Docker的存储目录（~/.local/share/docker/volumes/），可通过常规备份工具备份该目录。
   • SFTP服务容器允许支持人员通过ssh sftpuser@host -p 2222登录，直接操作卷内文件，无需接触宿主机其他目录。
   • 调整php-apache镜像内的Apache运行用户UID为1000（与SFTP用户UID一致），确保应用和SFTP对文件的权限兼容。

方案对比 #

内容的提问来源于stack exchange，提问作者Stefan Krüger s-light