M1 Mac上Docker容器内文件无法访问问题排查求助

针对你遇到的Nginx启动时找不到证书文件，但手动进入容器能看到文件的情况，可按以下步骤排查解决：

1. 修正证书目录挂载配置 #

Let's Encrypt的/private/etc/letsencrypt/live目录下的证书文件都是软链接，实际文件存放在同级的archive目录中。你当前只挂载了live目录，容器内的软链接会指向不存在的../archive路径，导致Nginx无法读取实际证书文件。

修改docker-compose.yml中的卷配置：

volumes:
  # 替换原有的live目录挂载为整个letsencrypt目录
  - /private/etc/letsencrypt:/etc/letsencrypt
  # 保留其他原有挂载项
  - ${PWD}/infrastructure/nginx/nginx.conf:/etc/nginx/nginx.conf:ro
  - ${PWD}/logs/nginx:/var/log/nginx:rw
  - ${PWD}/apps/fallback-server/static:/var/www/apps/fallback-server/static
  - ${PWD}/apps/server/data/static-apps:/var/www/apps/server/data/static-apps

2. 验证证书文件权限 #

宿主机上Let's Encrypt的证书文件权限通常限制较严格（仅root用户可读），而Nginx默认以nginx用户运行，可能没有读取权限：

• 临时排查：在Dockerfile中添加USER root，让Nginx以root用户启动，测试是否能读取证书。
• 生产环境调整：调整宿主机证书目录的权限，执行以下命令赋予其他用户读取权限：

  sudo chmod -R o+r /private/etc/letsencrypt/archive
  sudo chmod -R o+r /private/etc/letsencrypt/live
  

  或者将容器内nginx用户的GID与宿主机证书文件的所属组GID对齐，避免权限问题。

3. 检查容器挂载状态 #

容器启动失败后不要删除，执行以下命令查看挂载详情：

docker inspect web-proxy-1 | grep -A 20 "Mounts"

确认/private/etc/letsencrypt（或原live目录）是否正确挂载到容器内，源路径、目标路径是否匹配，挂载类型是否为bind。

4. 验证容器内软链接有效性 #

进入容器后，执行以下命令查看证书链接的实际指向：

ls -l /etc/letsencrypt/live/example.com/fullchain.pem

如果输出类似../archive/example.com/fullchain.pem，但容器内/etc/letsencrypt/archive目录不存在，说明挂载范围不足，必须挂载整个letsencrypt目录。

5. 清理Docker缓存 #

重启Docker Desktop，或执行以下命令清理旧容器、镜像缓存，避免缓存导致的挂载异常：

docker compose down -v
docker system prune -a

之后重新启动容器测试。

内容的提问来源于stack exchange，提问作者Dancrumb