使用ShinyProxy运行RStudio Server时容器启动失败问题

问题背景 #

在M1 Pro芯片的Mac上，单独运行rocker/rstudio容器可正常访问RStudio Server，但通过ShinyProxy部署时，点击RStudio链接会触发500错误，核心报错为权限拒绝（Permission denied），且无法完全关闭Mac防火墙。

可行解决方案（无需关闭防火墙） #

方案1：让ShinyProxy容器以Root用户运行 #

Mac上Docker Desktop的/var/run/docker.sock套接字权限限制了非Root用户的访问，修改docker-compose.yml，让ShinyProxy容器以Root身份启动即可获得访问Docker API的权限：

version: '3.8'
services:
  shinyproxy:
    container_name: shinyproxy
    image: openanalytics/shinyproxy:latest
    user: root  # 添加此行，以Root用户运行容器
    volumes:
      - '/var/run/docker.sock:/var/run/docker.sock'
      - "./application.yml:/opt/shinyproxy/application.yml:z"
    networks: 
      - sp-example-net
    ports:
      - 80:8080
networks: 
  sp-example-net:
    name: "sp-example-net"

方案2：通过TCP协议访问Docker API（更安全） #

绕开套接字权限问题，让ShinyProxy通过TCP连接Docker API：

1. 配置Docker Desktop开启TCP访问
   打开Docker Desktop → Settings → Docker Engine，修改配置文件添加TCP监听：

   {
     "builder": {
       "gc": {
         "defaultKeepStorage": "20GB",
         "enabled": true
       }
     },
     "experimental": false,
     "features": {
       "buildkit": true
     },
     "hosts": ["unix:///var/run/docker.sock", "tcp://127.0.0.1:2375"]  // 添加此行
   }
   

   保存后重启Docker Desktop。

2. 修改ShinyProxy配置文件
   更新application.yml，指定Docker API的TCP地址：

   proxy:
     port: 8080
     authentication: none
     docker:
         internal-networking: true
         url: tcp://host.docker.internal:2375  // 添加此行，指向Mac本地的Docker API
     specs:
     - id: rstudio
       container-image: rocker/rstudio
       container-network: sp-example-net
   

方案3：调整Docker Socket的权限映射（进阶安全） #

如果不想以Root运行容器，可获取Mac上Docker组的GID，将ShinyProxy容器内的用户加入对应组：

1. 执行命令查看Docker Socket的组ID：

   ls -ln /var/run/docker.sock
   

   输出中GID列的数值即为Docker组ID（通常为237）。

2. 修改docker-compose.yml，添加用户组映射：

   services:
     shinyproxy:
       ...
       user: "1000:237"  // 格式为「容器内用户UID:本地Docker组GID」
       ...
   

验证操作 #

修改配置后，执行以下命令重启服务：

docker compose down && docker compose up

访问localhost并点击RStudio链接，验证容器是否正常启动。

内容的提问来源于stack exchange，提问作者Giovanni Colitti