Docker容器中Gunicorn报Permission denied错误的解决求助

问题根源 #

错误sh: can't create /home/dev/app/logs/gunicorn.log: Permission denied的核心原因：

• 容器内/home/dev/app/logs目录不存在，dev用户无法在不存在的目录下创建日志文件
• 即使目录存在，dev用户可能没有该目录的读写权限

方案一：构建时创建日志目录并授权（推荐） #

修改Dockerfile，在切换到dev用户前，以root身份创建logs目录并修改所有者为dev，确保dev用户有读写权限：

FROM python:3.11.5-alpine
RUN adduser -D dev
EXPOSE 8000
WORKDIR /home/dev/app
COPY requirements.txt /home/dev/app
RUN pip install --no-cache-dir --upgrade -r /home/dev/app/requirements.txt
# 新增：创建logs目录并设置所有者为dev
RUN mkdir -p /home/dev/app/logs && chown -R dev:dev /home/dev/app/logs
USER dev
COPY . /home/dev/app
ENTRYPOINT ["sh", "-c", "gunicorn core.app:app -k uvicorn.workers.UvicornWorker --bind 0.0.0.0:8000 > /home/dev/app/logs/gunicorn.log 2>&1"]

方案二：让Gunicorn输出到标准流（Docker最佳实践） #

Docker容器更推荐将日志输出到stdout/stderr，而非本地文件，这样可以通过docker logs直接查看日志，同时避免权限问题。修改ENTRYPOINT：

FROM python:3.11.5-alpine
RUN adduser -D dev
EXPOSE 8000
WORKDIR /home/dev/app
COPY requirements.txt /home/dev/app
RUN pip install --no-cache-dir --upgrade -r /home/dev/app/requirements.txt
USER dev
COPY . /home/dev/app
# 移除日志文件重定向，让Gunicorn默认输出到stdout/stderr
ENTRYPOINT ["gunicorn", "core.app:app", "-k", "uvicorn.workers.UvicornWorker", "--bind", "0.0.0.0:8000"]

之后查看日志只需执行：

docker logs <容器名或ID>

为什么之前的chmod/mkdir尝试无效？ #

如果是在切换到dev用户后执行mkdir，当父目录权限不足时，dev用户无法创建子目录；而如果是在COPY之后执行，COPY的文件可能覆盖了目录权限，或者你没有正确指定目录路径。构建时以root身份创建并授权是最可靠的方式。

内容的提问来源于stack exchange，提问作者Wolf