Podman-compose运行NestJS应用时遇EACCES权限拒绝问题求助

1. 处理Podman用户命名空间映射冲突 #

Podman默认开启用户命名空间隔离，会将容器内用户映射为主机非特权用户，导致挂载目录权限不匹配。

• 临时禁用命名空间，运行命令时添加参数：

  podman-compose -f dev.docker-compose.yml up -V --build --abort-on-container-exit --userns=host
  

• 永久修改配置：编辑/etc/containers/containers.conf，找到userns字段，设置为host，然后重启Podman服务：

  sudo systemctl restart podman
  

2. 确保容器内目录权限正确 #

在Dockerfile中明确设置工作目录的归属，确保node用户拥有读写权限：

WORKDIR /usr/src/app
# 先以root身份设置权限，再切换回node用户
RUN chown -R node:node /usr/src/app
USER node

如果挂载主机目录，先在主机上调整目录权限（匹配容器内node用户的UID/GID，可通过podman exec <容器ID> id node查看）：

sudo chown -R 1000:1000 /path/to/your/app

3. 调整Compose的Volumes挂载配置 #

避免挂载容器内需要生成/删除的dist目录，只挂载开发必需的文件/目录：

# dev.docker-compose.yml中的volumes配置
volumes:
  - ./src:/usr/src/app/src
  - ./package.json:/usr/src/app/package.json
  - ./package-lock.json:/usr/src/app/package-lock.json
  # 移除对dist目录的挂载，让容器内部管理该目录

4. 临时特权模式排查（不建议长期使用） #

如果以上方法无效，可临时用特权模式启动容器，确认是否是权限隔离导致的问题：

podman-compose -f dev.docker-compose.yml up -V --build --abort-on-container-exit --privileged

排查步骤 #

如果问题仍存在，可启动容器后进入交互式shell手动测试：

1. 启动容器（即使失败，先让容器处于运行状态）：

   podman-compose -f dev.docker-compose.yml run --service-ports <服务名> bash
   

2. 在容器内执行删除命令，查看具体报错：

   rm -rf /usr/src/app/dist
   

内容的提问来源于stack exchange，提问作者Rick Stanley