Docker非root用户卷挂载权限问题：主机容器双向文件同步失败求助

问题背景 #

我们是Python开发团队，用Docker统一开发环境，需要实现主机与容器文件夹双向实时同步（无需重启容器）。root用户下使用Volumes功能一切正常，但切换到非root用户dsteam后，仅能从主机向容器同步文件，容器内创建文件时会提示权限拒绝（EACCES），当前通过Visual Studio Code操作Docker。

错误信息 #

Unable to write file 'vscode-remote://attached-container+7b22636f6e7461696e65724e616d65223a222f616970726f6a6563742d636f6e7461696e6572227d/home/dsteam/app/dscode/src/test int.txt' (NoPermissions (FileSystemError): Error: EACCES: permission denied, open '/home/dsteam/app/dscode/src/test int.txt')

容器内执行命令的报错：

dsteam@636434b7593e:~/app/dscode$ touch testint.txt
touch: cannot touch 'testint.txt': Permission denied

权限排查结果 #

容器内目录权限列表：

dsteam@636434b7593e:~/app$ ls -l
total 28
-rw-rw-r--  1 1000 1000  617 Mar 26 19:34 Dockerfile
-rw-rw-r--  1 1000 1000  908 Mar 26 19:34 docker-compose.yml
drwxrwxr-x  6 1000 1000 4096 Mar 20 08:13 dscode
drwxrwxr-x 14 1000 1000 4096 Mar 20 07:57 legacy
-rw-rw-r--  1 1000 1000 8930 Mar 20 08:24 requirements.txt

当前配置文件 #

Dockerfile #

FROM python:3.10

# 创建非root用户，默认shell为bash
RUN groupadd -r dsteam && useradd -r -g dsteam -m -s /bin/bash dsteam

# 设置工作目录
WORKDIR /home/dsteam/app

# 复制并安装依赖
COPY ./requirements.txt ./
RUN pip install --no-cache-dir -r requirements.txt

# 修改目录所有权
RUN chown -R dsteam:dsteam /home/dsteam/app

# 暴露端口
EXPOSE 5001

# 切换到非root用户
USER dsteam

# 运行命令（注释状态）
# CMD [ "uvicorn", "src.server.app:app", "--host", "0.0.0.0", "--port", "80", "--reload" ]

docker-compose.yml #

# 指定Docker Compose版本
version: '3'

# 定义Docker Compose管理的服务（容器）
services:
  # 定义名为"aiproject"的服务
  aiproject:
    # 构建配置
    build: .
    # 构建后的镜像名称
    image: aiproject-image
    # 容器名称
    container_name: aiproject-container
    # 端口映射：主机80端口映射到容器80端口
    ports:
      - "80:80"
    # 卷挂载：主机当前目录挂载到容器内/home/dsteam/app
    volumes:
      - ".:/home/dsteam/app"  # .代表主机当前工作目录
    # 打开标准输入流
    stdin_open: true
    # 分配伪终端
    tty: true
    # 覆盖默认命令，启动bash
    command: ["bash"]

解决方案 #

核心问题是挂载卷的权限覆盖：Dockerfile中的chown是在镜像构建阶段修改容器内目录权限，但启动容器时用主机目录挂载到/home/dsteam/app后，主机目录的权限会覆盖容器内原目录权限。主机目录所有者为UID 1000（主机用户），尽管容器内dsteam用户也是UID 1000，但仍需确保挂载后的目录对容器用户开放写权限。

方案1：修改主机目录权限（开发环境推荐） #

直接在主机上给当前目录添加写权限：

# 方法1：给所有用户开放写权限（简单快捷）
chmod -R o+w ./

# 方法2：设置目录组为1000并开放组写权限（更安全）
chgrp -R 1000 ./
chmod -R g+w ./

方案2：让容器用户与主机UID/GID完全匹配 #

如果主机用户的UID/GID不是1000，可通过构建参数动态匹配：

1. 修改Dockerfile：

FROM python:3.10

# 接收主机UID/GID参数，默认值为1000
ARG USER_UID=1000
ARG USER_GID=1000

# 创建与主机匹配的用户组和用户
RUN groupadd -g ${USER_GID} dsteam && useradd -u ${USER_UID} -g dsteam -m -s /bin/bash dsteam

WORKDIR /home/dsteam/app

COPY ./requirements.txt ./
RUN pip install --no-cache-dir -r requirements.txt

RUN chown -R dsteam:dsteam /home/dsteam/app

EXPOSE 5001

USER dsteam

2. 修改docker-compose.yml，添加构建参数：

services:
  aiproject:
    build:
      context: .
      args:
        USER_UID: ${UID}
        USER_GID: ${GID}
    # 其余配置保持不变...

3. 主机执行启动命令：

export UID=$(id -u)
export GID=$(id -g)
docker-compose up --build

方案3：使用Docker卷替代主机目录挂载（生产环境推荐） #

如果不需要在主机直接编辑文件，改用Docker卷，卷的权限会继承容器内目录的权限：
修改docker-compose.yml的volumes部分：

services:
  aiproject:
    # 其余配置保持不变...
    volumes:
      - aiproject-volume:/home/dsteam/app

# 定义Docker卷
volumes:
  aiproject-volume:

此方案下容器内dsteam用户拥有卷的读写权限，数据持久化在Docker卷中，但主机无法直接编辑文件。

验证方法 #

容器启动后，进入容器执行：

touch /home/dsteam/app/test.txt

若文件创建成功，说明权限问题解决。方案1/2可直接在主机对应目录查看文件；方案3可通过docker volume inspect aiproject-volume查看卷路径，确认文件同步情况。

内容的提问来源于stack exchange，提问作者rcr_aagr