为何用户UID匹配时容器仍以root身份挂载卷？（Podman+WSL2）

我在Windows下的WSL2环境中，通过Podman模拟Docker运行容器，启动时指定了-u 1000:1000以UID/GID 1000的用户身份运行，同时挂载主机的/home/mark/.cache/go-build目录到容器内的/tmp/go-build-cache。主机上该目录的所有者是UID 1000的mark用户，但容器内查看挂载目录下的文件时，所有者显示为root:root，不符合预期。想知道问题出在哪里，以及如何让挂载卷以UID 1000的身份显示权限。

容器内执行结果 #

mark@L-R910LPKW:~$ docker run --rm -it -u 1000:1000 \
  -v /home/mark/.cache/go-build:/tmp/go-build-cache:delegated \
  argocd-test-tools:latest \
  bash -c "id ; ls -l /tmp/go-build-cache | head -2"

mark@L-R910LPKW:~$
uid=1000(user) gid=1000(user) groups=1000(user)
total 3356
drwxr-xr-x 2 root root 16384 May 11 16:05 00
mark@L-R910LPKW:~$

主机端执行结果 #

mark@L-R910LPKW:~$ id ; ls -l /home/mark/.cache/go-build | head -2
uid=1000(mark) gid=1000(mark) groups=1000(mark),4(adm),20(dialout),24(cdrom),25(floppy),27(sudo),29(audio),30(dip),44(video),46(plugdev),117(netdev),1001(docker)
total 3356
drwxr-xr-x 2 mark mark 16384 May 11 12:05 00
mark@L-R910LPKW:~$

Docker与Podman的关系 #

当前环境中的docker命令实际是Podman的包装器：

mark@L-R910LPKW:~$ which docker
/usr/bin/docker
mark@L-R910LPKW:~$ cat /usr/bin/docker
#!/bin/sh
[ -f /etc/containers/nodocker ] || \
echo "Emulate Docker CLI using podman. Create /etc/containers/nodocker to quiet msg." >&2
exec /usr/bin/podman "$@"
mark@L-R910LPKW:~$

1. WSL2文件系统权限映射特性：如果你的/home/mark目录是挂载的Windows文件系统，WSL2对这类目录的权限处理和原生Linux文件系统不同，Podman挂载时会默认以root权限映射，即使主机显示所有者是mark（UID1000），容器内也会识别为root。
2. Podman用户命名空间隔离：Podman默认启用用户命名空间隔离，主机的UID1000可能被映射到容器内的其他UID，即使指定了-u 1000:1000，命名空间的映射规则也会干扰权限识别。
3. 挂载选项兼容性：delegated是Docker的一致性挂载选项，Podman对该选项的处理逻辑和原生Docker有差异，导致权限未正确传递。

• 方法一：使用WSL2原生Linux文件系统
  将/home/mark/.cache/go-build迁移到WSL2的原生Linux文件系统中（避免使用挂载的Windows目录），这样权限会被Podman正确识别和传递，容器内就能看到UID1000的所有者。

• 方法二：临时调整容器内权限
  启动容器时先以root身份修改挂载目录的权限，再切换到UID1000用户执行命令：

  docker run --rm -it \
    -v /home/mark/.cache/go-build:/tmp/go-build-cache:delegated \
    argocd-test-tools:latest \
    bash -c "chown -R 1000:1000 /tmp/go-build-cache && su -u 1000 -s /bin/bash -c 'id ; ls -l /tmp/go-build-cache | head -2'"
  

• 方法三：修改Podman用户命名空间配置（谨慎使用）
  编辑/etc/containers/containers.conf文件，找到userns配置项，设置为userns="host"，然后重启Podman服务。这样主机和容器的UID会直接映射，指定-u 1000:1000后挂载卷的权限会正确显示（此方法会降低容器隔离性，有安全风险）。

• 方法四：配置Podman挂载权限映射
  创建~/.config/containers/mounts.conf文件，添加以下内容：

  /home/mark/.cache/go-build:/tmp/go-build-cache,uid=1000,gid=1000
  

  让Podman默认以指定的UID/GID挂载该目录。

内容的提问来源于stack exchange，提问作者mark