Docker BuildKit能否挂载上下文外目录？挂载上级目录报错求助

问题描述 #

尝试使用Docker BuildKit的RUN --mount=type=bind指令，挂载Docker上下文目录（project/docker/app）两级上级的project/app目录（Gradle构建的Java项目目录）。

目录结构如下：

project   (dir)
   app    (dir)
   docker (dir)
      docker-compose.yaml (file)
      some-dir1 (dir)
      app (dir)
         Dockerfile (file)
         some-file  (file)

对应的Dockerfile内容：

# syntax=docker/dockerfile:1.2
FROM gradle:8.3.0-jdk17-alpine as builder
RUN --mount=type=bind,target=/home/gradle/app/,source="../../app/",rw \
    cd /home/gradle/app/ && \
    gradle clean && \
    gradle bootJar

构建时出现报错：

ERROR: failed to solve: failed to compute cache key: failed to calculate checksum of ref 2f6eb37e-c9dd-424b-bc15-b41d19994e1c::eg16xi09kr6tsssono9tcri5e: "/app": not found

问题：是否可以挂载Docker上下文之外的目录？

解答 #

• 核心限制：Docker构建无法直接访问上下文外的目录
  Docker构建过程中，所有文件访问都被严格限制在构建上下文范围内（即执行docker build时指定的目录）。你的构建上下文是project/docker/app，而../../app已经超出了这个上下文的边界，因此BuildKit无法找到目标目录，导致报错。

• 解决方法：调整构建上下文路径
  正确的做法是将构建上下文切换到project目录（app和docker的共同父目录），同时修改Dockerfile中的路径配置：

  1. 执行构建命令时指定上下文为project目录：

     docker build -f docker/app/Dockerfile .
     

  2. 修改Dockerfile里的--mount参数，将source路径改为app/（此时上下文为project目录，可直接引用app子目录）：

     # syntax=docker/dockerfile:1.2
     FROM gradle:8.3.0-jdk17-alpine as builder
     RUN --mount=type=bind,target=/home/gradle/app/,source=app/,rw \
         cd /home/gradle/app/ && \
         gradle clean && \
         gradle bootJar
     

• 为什么不能直接挂载上下文外目录？
  Docker的设计初衷是保证构建的可重复性和安全性。如果允许访问上下文外的文件，不同环境下的构建结果可能因外部文件差异而不一致，同时也可能带来安全风险（例如误挂载敏感系统目录）。BuildKit虽扩展了挂载能力，但仍遵循这一核心限制。

内容的提问来源于stack exchange，提问作者QkiZ