ASP.NET Core API在Docker容器中无法写入目录的问题咨询

问题背景 #

我正在学习Docker工作原理，现有一个运行在Docker容器中的ASP.NET Core Web API。API收到请求时需将部分数据存储为.json文件，实现代码如下：

foreach (MyType item in fulldata) { 
    JsonConvert.SerializeObject(item); 
    StreamWriter writer = new StreamWriter(@"demo_data/demo_data_store/" + item.Tag+".json",false);
    writer.AutoFlush = true;
    writer.Write(JsonConvert.SerializeObject(item));           
}

通过Visual Studio调试启动容器时一切正常，但通过Dockerfile构建镜像并启动容器后，抛出System.UnauthorizedAccessException：“Access to the path '/app/demo_data/demo_data_store/myfile.json' is denied.”。

我在Dockerfile中添加了VOLUME指令，但仍报相同错误。移除VOLUME指令后，在Docker Desktop中通过绑定挂载指定主机与容器路径可正常工作：

"Mounts": [
    {
        "Type": "bind",
        "Source": "C:\\the_local_directory_I_want_to_use\\_testdata",
        "Destination": "/app/demo_data/demo_data_store",
        "Mode": "",
        "RW": true,
        "Propagation": "rprivate"
    }
]

请问如何仅通过修改Dockerfile实现同样效果？尝试RUN --mount=bind时构建报错，提示找不到源目录，能否通过Dockerfile添加卷实现？

核心问题分析 #

权限报错的根源：

• 容器运行时使用的app用户没有目标目录的写入权限
• VOLUME指令仅声明容器内的挂载点，不会自动调整目录权限；匿名卷默认由root用户拥有，app用户无法写入

仅用Dockerfile的解决方法 #

1. 创建目标目录并修改所有权给app用户 #

在final阶段添加创建目录和修改权限的命令，确保app用户拥有该目录的写入权限——无论后续使用匿名卷、命名卷还是绑定挂载，这一步都是必要的：
修改后的Dockerfilefinal阶段代码：

FROM base AS final
WORKDIR /app
# 创建多级目录并将所有权递归授予app用户
RUN mkdir -p /app/demo_data/demo_data_store && chown -R app:app /app/demo_data
COPY --from=publish /app/publish .
ENTRYPOINT ["dotnet", "WebAPI1.dll"]
# 可选：声明挂载点，运行时Docker会自动创建匿名卷，且app用户有权限写入
VOLUME /app/demo_data/demo_data_store

2. 关于RUN --mount=bind的误区 #

RUN --mount=bind是镜像构建阶段的指令，用于在构建过程中临时挂载主机目录或其他卷，和容器运行时的持久化存储无关，因此不适合你的场景。

3. 无法仅通过Dockerfile指定绑定挂载的主机路径 #

Dockerfile是镜像的可移植定义，不能硬编码主机路径（不同主机的路径结构存在差异）。绑定挂载的主机路径必须在运行容器时通过docker run -v 主机路径:容器路径命令指定，或通过Docker Desktop图形界面配置——这部分逻辑无法写入Dockerfile。

如果想简化运行命令，可以使用命名卷：运行时执行docker run -v my_data_volume:/app/demo_data/demo_data_store ...，命名卷由Docker统一管理，无需指定具体主机路径，但命名卷的创建和关联仍需运行时命令，无法仅通过Dockerfile完成。

内容的提问来源于stack exchange，提问作者Hatzegopteryx