为何ROX模式PV挂载设readOnly:false仍可写入？

这是因为Kubernetes的ROX（ReadOnlyMany）访问模式的限制执行取决于存储驱动的实现，以及你的PV/PVC实际配置可能存在以下几种情况：

• 存储驱动未严格强制执行ROX限制：ROX是Kubernetes定义的访问模式规范，但并非所有存储提供者都会严格校验并阻止写入操作。比如hostPath、部分NFS实现或者一些本地存储驱动，即使PV标记为ROX，底层存储介质本身还是可写的——Kubernetes只是做了挂载标记，但没有真正限制底层的写入权限。此时Pod挂载时设置readOnly: false就能绕过K8s的挂载标记，直接对存储进行写入。

• PV/PVC的访问模式配置有误：你可能误以为PV是ROX模式，但实际查看PV的YAML会发现，它的accessModes可能包含ReadWriteOnce（RWO）或ReadWriteMany（RWX）。比如如果PV是RWO模式，单个Pod挂载时设置readOnly: false自然可以写入；如果是RWX，多个Pod都能进行写入操作。

• PVC与PV的访问模式不匹配但Kubernetes未阻止绑定：理论上PVC请求的访问模式必须是PV支持的子集，但在某些情况下，Kubernetes可能允许PVC以ROX请求绑定到支持RWX的PV。此时Pod挂载时设置readOnly: false就能触发写入，因为PV本身支持读写操作。

排查步骤 #

1. 检查PV的实际配置：

   kubectl get pv <你的PV名称> -o yaml
   

   查看spec.accessModes字段，确认是否只有ReadOnlyMany，还是包含其他可写的访问模式。

2. 检查PVC的配置及绑定状态：

   kubectl get pvc pvc-1 -o yaml
   

   确认spec.accessModes是否和PV匹配，以及status.phase是否为Bound。

3. 验证存储驱动的ROX支持：
   查阅你使用的存储（比如EBS、NFS、Ceph等）的官方文档，确认其是否严格支持ROX模式的只读限制——有些存储可能需要额外配置才能启用只读锁定。

4. 多Pod测试：
   创建另一个Pod同样挂载该PVC并设置readOnly: false，尝试写入。如果第二个Pod也能写入，说明PV实际是RWX模式；如果第二个Pod挂载失败，说明是RWO模式，而你第一个Pod的写入是因为RWO允许单个Pod读写。

内容的提问来源于stack exchange，提问作者codego123