Laravel+Docker部署至DigitalOcean时权限报错的自动化解决需求

问题描述 #

在DigitalOcean部署Laravel+Docker容器时出现权限错误：

The stream or file "/var/www/html/storage/logs/laravel.log" could not be opened in append mode: failed to open stream: Permission denied

本地Mac M1 Air构建容器时无此问题，目前可通过手动进入容器执行以下命令临时解决：

docker exec -u 0 -it <container-id> /bin/bash
chmod -R 777 /var/www/html/storage

但需通过Dockerfile实现自动化部署，无需手动干预。

当前使用的Dockerfile内容如下：

FROM php:7.4-apache

# Install dependencies
RUN apt-get update && \
    apt-get install -y \
    libzip-dev \
    zip

# Enable Apache modules
RUN a2enmod rewrite
RUN a2enmod headers
RUN a2enmod ssl

RUN mkdir -p /etc/apache2/ssl  # Create the ssl directory

# Generate a self-signed certificate
RUN openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/apache2/ssl/cert-key.pem -out /etc/apache2/ssl/cert.pem \
    -subj "/C=US/ST=California/L=New York/O=Zylu/OU=Zylu/CN=zylu.co"

COPY ./apache/000-default.conf /etc/apache2/sites-available/000-default.conf

# Install PHP extensions
RUN docker-php-ext-install pdo_mysql zip

ENV APACHE_DOCUMENT_ROOT=/var/www/html/public
RUN sed -ri -e 's!/var/www/html!${APACHE_DOCUMENT_ROOT}!g' /etc/apache2/sites-available/*.conf
RUN sed -ri -e 's!/var/www/!${APACHE_DOCUMENT_ROOT}!g' /etc/apache2/apache2.conf /etc/apache2/conf-available/*.conf

# Copy the application code
COPY . /var/www/html

# Set the working directory
WORKDIR /var/www/html

RUN chown -R www-data:www-data /var/www/html/storage \
    && chown -R www-data:www-data /var/www/html/bootstrap/cache

RUN chmod -R 777 /var/www/html/storage \
    && chmod -R 777 /var/www/html/bootstrap/cache

# Expose port 80 and 443 and start Apache
EXPOSE 80
EXPOSE 443

问题原因 #

1. 文件复制权限继承：本地构建时，Mac的文件系统权限与Linux服务器（DigitalOcean）存在差异，复制到容器内的文件所有权可能未正确映射到www-data用户（Apache运行用户）。
2. 过度权限使用：原Dockerfile中使用777权限虽然能解决问题，但存在严重安全风险，不符合最小权限原则。

自动化解决方案 #

修改Dockerfile，调整文件复制顺序与权限设置逻辑，确保www-data用户拥有必要的读写权限，同时避免过度开放权限：

FROM php:7.4-apache

# Install dependencies
RUN apt-get update && \
    apt-get install -y \
    libzip-dev \
    zip

# Enable Apache modules
RUN a2enmod rewrite
RUN a2enmod headers
RUN a2enmod ssl

RUN mkdir -p /etc/apache2/ssl  # Create the ssl directory

# Generate a self-signed certificate
RUN openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/apache2/ssl/cert-key.pem -out /etc/apache2/ssl/cert.pem \
    -subj "/C=US/ST=California/L=New York/O=Zylu/OU=Zylu/CN=zylu.co"

COPY ./apache/000-default.conf /etc/apache2/sites-available/000-default.conf

# Install PHP extensions
RUN docker-php-ext-install pdo_mysql zip

ENV APACHE_DOCUMENT_ROOT=/var/www/html/public
RUN sed -ri -e 's!/var/www/html!${APACHE_DOCUMENT_ROOT}!g' /etc/apache2/sites-available/*.conf
RUN sed -ri -e 's!/var/www/!${APACHE_DOCUMENT_ROOT}!g' /etc/apache2/apache2.conf /etc/apache2/conf-available/*.conf

# 创建应用目录并设置初始所有权
RUN mkdir -p /var/www/html \
    && chown -R www-data:www-data /var/www/html \
    && chmod -R 755 /var/www/html

# 切换到www-data用户复制代码，避免本地文件权限干扰
USER www-data
COPY . /var/www/html

# 回到root用户设置关键目录权限
USER root
WORKDIR /var/www/html

# 设置storage和bootstrap/cache的所有权与安全权限
RUN chown -R www-data:www-data /var/www/html/storage \
    && chown -R www-data:www-data /var/www/html/bootstrap/cache \
    && chmod -R 775 /var/www/html/storage \
    && chmod -R 775 /var/www/html/bootstrap/cache

# Expose port 80 and 443 and start Apache
EXPOSE 80
EXPOSE 443

关键修改说明 #

• 提前创建目录并设置所有权：在复制代码前先创建/var/www/html目录，确保容器内目录所有权为www-data，避免本地文件权限覆盖。
• 切换用户复制代码：以www-data用户身份复制应用代码，确保文件默认所有权正确，减少后续权限调整步骤。
• 使用安全权限：将777替换为775，仅开放用户组的读写权限，同时保证www-data用户拥有完整操作权限，兼顾安全性与功能性。

内容的提问来源于stack exchange，提问作者Dhruvit Salat