Docker卷目录内容仅部分绑定问题排查与解决求助

问题场景 #

在Docker容器内运行Node.js服务，通过Docker-outside-of-Docker（DoD）模式部署子容器。执行docker-compose up -d后发现：部分在volumes中指定的目录，在子容器内显示为空文件夹，但在Node.js容器的卷目录中解压后的原内容非空。

Node.js容器内的部署流程 #

• 创建新文件夹
• 从Git仓库下载包含目录结构和文件的压缩包
• 解压压缩包至Node.js容器的卷目录
• 执行命令chown -R 0755 .（注：此处应为chmod -R 0755 .的笔误，按原文保留）
• 编辑docker-compose.yml，将所有挂载的volumes标记为:rw（读写权限）
• 执行docker-compose up -d

已尝试的解决方案 #

• 以root用户运行Node.js容器
• 开启容器privileged模式
• 在docker-compose up -d前添加sleep延迟
• 修改权限为chmod -R 0777 .、chown www-data:www-data
• 用cp替代mv操作
• 将volumes权限标记从:rw改为:Z

环境信息 #

• 宿主机系统：Debian GNU/Linux 11 (bullseye)
• Node.js容器镜像：node:20-slim（基于Debian 12）
• 子容器镜像：php:8.2-fpm-alpine3.18

补充排查信息 #

• 权限冲突发现：Node.js容器中www-data用户的UID/GID为33，而Alpine子容器中www-data的UID/GID为82
• 将Node.js容器切换为Alpine基础镜像后，问题仍存在
• 在Node.js容器内执行ls -la可见，部分被挂载为卷的文件夹所有者为其他用户；尝试执行chown -R 82:82 [folder]时提示chown: [folder]: Operation not permitted
• 停止容器后，在宿主机root用户下执行docker-compose up -d，子容器启动后所有权限正常，挂载卷内容显示正常

原因分析 #

1. 卷挂载的权限核心问题：Docker挂载宿主机目录到子容器时，子容器能否读取内容取决于宿主机目录的权限配置，而非容器内的权限设置。当子容器运行用户的UID/GID与宿主机目录的所有者UID/GID不匹配时，会因权限不足无法读取内容，表现为挂载卷为空。
2. DoD模式下的权限边界：Node.js容器内的root用户并非宿主机的真实root（即使开启privileged模式，宿主机文件系统仍会对容器用户的权限做限制），导致无法修改宿主机目录的所有者为子容器所需的82:82，进而子容器无读取权限。
3. UID/GID跨镜像不统一：Debian系镜像与Alpine系镜像中www-data用户的UID/GID默认不同（33 vs 82），这是权限冲突的直接诱因。

解决方案 #

方案1：统一UID/GID为子容器所需的82:82 #

1. 在Node.js容器内正确设置宿主机目录权限：
   确保解压文件后，将卷目录的所有者改为子容器的UID/GID：

   chown -R 82:82 /path/to/volume-folder
   chmod -R 0755 /path/to/volume-folder
   

2. 让Node.js容器拥有宿主机root权限：
   启动Node.js容器时，挂载宿主机的/etc/passwd和/etc/group，并以root用户运行，确保容器内的root能映射到宿主机root，从而有权修改宿主机目录权限：

   docker run -d \
     --name node-dod-service \
     --user root \
     -v /var/run/docker.sock:/var/run/docker.sock \
     -v /host/deploy/path:/container/deploy/path \
     -v /etc/passwd:/etc/passwd:ro \
     -v /etc/group:/etc/group:ro \
     node:20-slim
   

方案2：宿主机预配置目录权限 #

提前在宿主机创建部署目录，设置所有者为子容器所需的82:82，Node.js容器挂载后直接解压文件即可：

# 宿主机执行
mkdir -p /host/deploy/path
chown -R 82:82 /host/deploy/path
chmod -R 0755 /host/deploy/path

方案3：修改子容器运行用户匹配现有UID #

在docker-compose.yml中指定子容器运行时的UID/GID为宿主机目录的实际所有者UID（比如Node.js容器内的33:33）：

services:
  php-fpm:
    image: php:8.2-fpm-alpine3.18
    user: "33:33" # 匹配宿主机目录所有者UID/GID
    volumes:
      - ./deploy-folder:/var/www/html:rw

内容的提问来源于stack exchange，提问作者alks