如何让Docker容器与主机系统时间独立设置（Debian 11环境）

因为Docker容器与主机共享内核，直接修改容器时间会同步修改主机内核时间，而主机的时间同步服务会将时间强制恢复。针对你的ioncube加密应用依赖特定过去时间的需求，最安全且有效的方法是在用户空间伪造时间，让应用（Apache及加密程序）看到指定的过去时间，同时完全不影响主机和容器的内核真实时间。

方案：使用libfaketime伪造应用可见时间 #

libfaketime是一个拦截系统时间调用的库，能让指定进程看到伪造的时间，而不修改系统内核时间，完美匹配你的需求。

步骤1：在Docker镜像中安装libfaketime #

修改你的Dockerfile，添加安装命令：

RUN apt-get update && apt-get install -y libfaketime && rm -rf /var/lib/apt/lists/*

步骤2：配置容器环境变量启用时间伪造 #

方式1：使用docker run命令启动容器

docker run -d \
  -e LD_PRELOAD=/usr/lib/x86_64-linux-gnu/faketime/libfaketime.so.1 \
  -e FAKETIME="2015-01-01 12:00:00" \
  # 替换为你的容器端口、挂载等原有配置
  -p 80:80 \
  your-app-image:latest

方式2：使用docker-compose配置

如果用docker-compose管理服务，修改docker-compose.yml：

services:
  your-app-service:
    image: your-app-image:latest
    environment:
      - LD_PRELOAD=/usr/lib/x86_64-linux-gnu/faketime/libfaketime.so.1
      - FAKETIME="2015-01-01 12:00:00"
    ports:
      - "80:80"
    # 其他原有配置（volumes、restart等）

步骤3：验证效果 #

进入容器后，分别查看系统真实时间和应用可见的伪造时间：

# 查看容器内核真实时间（和主机完全一致）
date

# 查看libfaketime伪造的时间（即应用看到的时间）
env LD_PRELOAD=/usr/lib/x86_64-linux-gnu/faketime/libfaketime.so.1 date

此时Apache和你的加密应用会自动使用FAKETIME指定的过去时间，主机时间不受任何影响，也不会被时间同步服务干扰。

补充说明 #

• 若容器为32位Debian系统，libfaketime的路径会不同，可通过find /usr/lib -name libfaketime.so.1命令查找正确路径。
• FAKETIME支持多种格式：
  • 绝对时间：YYYY-MM-DD HH:MM:SS（如示例）
  • 相对时间：-5y表示5年前，+3d表示3天后
• 该方案无需任何特权权限（不需要privileged或cap-add），安全性远高于直接修改系统时间的方式。

内容的提问来源于stack exchange，提问作者Vlad Agri