Buildpack构建SpringBoot容器挂载卷读写权限问题排查

核心原因 #

你遇到的AccessDeniedException本质是容器内运行应用的cnb用户，没有对挂载的/workspace/app目录的写入权限，具体分两点：

• Buildpack构建的镜像默认用cnb用户（通常UID=1000、GID=1000）运行应用，而你主机上的/home/user/runtime目录属于user:mygroup，二者的UID/GID不匹配，导致容器内用户无法写入。
• 目录读取正常是因为主机目录默认开放了其他用户的读权限，但写入需要明确的写权限授权。

你的Docker Compose卷绑定配置本身没有错误，问题出在主机与容器的用户权限映射未对齐。

解决办法 #

方法1：修改主机目录权限适配容器用户 #

先查容器内cnb用户的UID/GID：

docker run --rm app:0.0.1-SNAPSHOT id cnb

拿到输出的UID和GID后，修改主机目录权限：

# 直接将目录所有者改为容器cnb用户的UID/GID
sudo chown [容器cnb的UID]:[容器cnb的GID] /home/user/runtime

# （不推荐）临时开放其他用户写权限用于测试
sudo chmod o+w /home/user/runtime

方法2：构建镜像时指定匹配主机的运行用户UID/GID #

修改Spring Boot Maven插件配置，让Buildpack构建镜像时用你主机user的UID和GID作为运行用户：

<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <configuration>
        <image>
            <env>
                <!-- 替换成你主机user的UID和mygroup的GID，可通过`id user`在主机查询 -->
                <BP_RUN_USER_UID>1001</BP_RUN_USER_UID>
                <BP_RUN_USER_GID>1002</BP_RUN_USER_GID>
            </env>
        </image>
    </configuration>
</plugin>

重新构建镜像后启动容器即可。

方法3：在Docker Compose中指定运行用户 #

在docker-compose.yml的app服务里添加user字段，直接用主机user的UID:GID运行容器：

app:
    image: 'app:0.0.1-SNAPSHOT'
    ports:
      - '8080:8080'
    environment:
      - RUNTIMEDIR=/workspace/app
    volumes:
      - app_data:/workspace/app
    user: "1001:1002" # 替换为主机user的UID:GID

注意：需要确保容器内/workspace目录对该UID/GID有访问权限，Buildpack镜像默认已配置/workspace允许cnb组访问，所以只要UID/GID匹配，就能正常写入。

验证操作 #

修改后启动容器，执行以下命令检查权限：

docker exec -it [你的容器ID] ls -ld /workspace/app

输出的权限位应包含运行用户的写权限（比如drwxr-xr-x里的第二个w），再查看应用日志确认异常消失。

内容的提问来源于stack exchange，提问作者Ruven