无根Podman环境下官方PHP-FPM镜像权限问题解决方案求助

问题背景 #

官方PHP-FPM 7.4.19-fpm镜像（新版本可能存在相同情况）中，php-fpm主进程以root用户运行，但子进程池固定使用www-data用户：

USER         PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root           1  0.6  0.0 125300 30080 ?        Ss   22:48   0:00 php-fpm: master process (/usr/local/etc/php-fpm.conf)
www-data       2  3.1  0.0 128260 21676 ?        S    22:48   0:00 php-fpm: pool www
www-data       3  4.2  0.0 128260 21648 ?        S    22:48   0:00 php-fpm: pool www

Podman挂载的卷在容器内默认归root用户所有，权限多为-rw-r--r--，导致www-data用户无完整访问权限。

使用--user=参数启动容器时，所有进程会切换为指定用户，但这并未解决卷权限问题：

USER         PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
1000           1  1.2  0.0 125300 29888 ?        Ss   22:53   0:00 php-fpm: master process (/usr/local/etc/php-fpm.conf)
1000           2  1.4  0.0 128128 21488 ?        S    22:53   0:00 php-fpm: pool www
1000           3  1.4  0.0 128128 21400 ?        S    22:53   0:00 php-fpm: pool www

最优解决方案 #

1. 动态修改PHP-FPM子进程池用户/组 #

启动容器时，通过命令修改php-fpm.d/www.conf中的用户配置，让子进程使用与卷权限匹配的用户ID/组ID：

podman run -d \
  -v /宿主机路径:/容器内路径 \
  -e PUID=1000 \
  -e PGID=1000 \
  php:7.4.19-fpm \
  sh -c "sed -i 's/user = www-data/user = '$PUID'/g' /usr/local/etc/php-fpm.d/www.conf && sed -i 's/group = www-data/group = '$PGID'/g' /usr/local/etc/php-fpm.d/www.conf && php-fpm -F"

原理：将子进程的运行用户/组替换为宿主机的UID/GID（与卷的所有者一致），确保子进程有访问卷的权限。

2. 构建自定义镜像预配置权限 #

创建自定义Dockerfile，提前修改PHP-FPM配置并添加用户匹配逻辑：

FROM php:7.4.19-fpm

COPY entrypoint.sh /usr/local/bin/entrypoint.sh
RUN chmod +x /usr/local/bin/entrypoint.sh

ENTRYPOINT ["entrypoint.sh"]
CMD ["php-fpm", "-F"]

entrypoint.sh内容：

#!/bin/sh
set -e

# 如果传入PUID/PGID，修改www-data用户的ID
if [ -n "$PUID" ] && [ -n "$PGID" ]; then
    usermod -u "$PUID" www-data
    groupmod -g "$PGID" www-data
fi

# 执行原命令
exec "$@"

构建镜像后，启动时只需传入PUID/PGID即可：

podman run -d -v /宿主机路径:/容器内路径 -e PUID=1000 -e PGID=1000 custom-php-fpm:7.4.19

3. 提前调整宿主机卷权限 #

直接修改宿主机上挂载目录的权限，让www-data用户（UID=33，GID=33）拥有访问权限：

sudo chown -R 33:33 /宿主机路径

此方法无需修改容器配置，但仅适用于固定使用www-data用户的场景。

集成到docker-compose.yml #

方案1：使用命令动态修改配置 #

version: '3.8'
services:
  php-fpm:
    image: php:7.4.19-fpm
    volumes:
      - ./app:/var/www/html
    environment:
      - PUID=1000
      - PGID=1000
    command: >
      sh -c "sed -i 's/user = www-data/user = $PUID/g' /usr/local/etc/php-fpm.d/www.conf &&
             sed -i 's/group = www-data/group = $PGID/g' /usr/local/etc/php-fpm.d/www.conf &&
             php-fpm -F"

方案2：使用自定义镜像 #

version: '3.8'
services:
  php-fpm:
    build: ./php-fpm
    volumes:
      - ./app:/var/www/html
    environment:
      - PUID=1000
      - PGID=1000

在./php-fpm目录下放置上述Dockerfile和entrypoint.sh文件。

内容的提问来源于stack exchange，提问作者roomcays