Docker容器执行sed命令遇临时文件权限拒绝错误求助

问题原因 #

sed -i的工作机制是在目标文件所在目录创建临时文件，将修改后的内容写入临时文件后替换原文件。而Mac OS的Docker Desktop通过osxfs实现宿主机目录挂载，其权限映射和文件系统特性与Linux原生存在差异，导致sed在挂载目录创建随机命名的临时文件时触发权限拒绝，直接读写原文件的操作则不受影响。

排查步骤 #

• 检查挂载目录权限：在容器内执行ls -ld work/rpi，确认目录所有者和权限位是否包含写权限（虽你提到其他操作正常，但需排除目录权限的显性问题）。
• 验证临时文件手动创建：在容器内执行touch work/rpi/test_temp_file，若能成功创建，说明不是目录写权限问题，而是sed临时文件机制与osxfs的兼容性问题。
• 确认容器用户与宿主机用户映射：执行id查看容器内用户UID/GID，对比宿主机的UID/GID，若不一致，可能触发osxfs的权限拦截。

修复方法 #

方法1：指定sed临时文件目录（推荐） #

GNU sed支持--tmpdir参数，可将临时文件创建在容器内部的可控目录（如/tmp），修改命令如下：

sed -i --tmpdir=/tmp 's[ ]root=[^ ]*/ root=${mender_kernel_root}/' work/rpi/cmdline.txt

此方法绕开了在osxfs挂载目录创建临时文件，彻底避免权限冲突。

方法2：调整Docker挂载参数 #

• 用户UID/GID映射：运行容器时指定与宿主机当前用户一致的UID/GID，确保权限映射匹配：

docker run -v /path/to/host/work:/container/work --user $(id -u):$(id -g) ...

• 挂载模式优化：添加:delegated挂载参数，让宿主机拥有文件系统权限的最终控制权，缓解osxfs的权限限制：

docker run -v /path/to/host/work:/container/work:delegated ...

方法3：使用固定后缀的备份文件 #

通过sed -i.bak指定备份文件后缀，sed会创建固定命名的备份文件而非随机临时文件，完成修改后手动删除备份：

sed -i.bak 's[ ]root=[^ ]*/ root=${mender_kernel_root}/' work/rpi/cmdline.txt && rm work/rpi/cmdline.txt.bak

此方法适配osxfs对随机文件名的特殊处理逻辑。

内容的提问来源于stack exchange，提问作者Yury Glushkov