Docker卷能否实现只读文件透明解压？附只读数据暴露最佳实践

方案1：将数据打包为只读Docker镜像（最规范） #

你的数据是只读且线性访问，直接把数据打包成Docker镜像是最贴合Docker生态的方案，无需额外权限或复杂配置：

• 步骤1：准备好你的压缩数据包（比如data.tar.xz，15GB），创建极简Dockerfile：

  FROM scratch
  ADD data.tar.xz /data
  WORKDIR /data
  

• 步骤2：构建镜像：

  docker build -t compressed-data-image .
  

  Docker会自动解压压缩包到镜像层，而镜像本身会以分层压缩形式存储，主机仅占用约15GB空间。
• 步骤3：运行应用容器时，挂载镜像中的数据目录：
  用--volumes-from快速挂载只读数据：

  docker run -d --name your-app \
    --volumes-from compressed-data-image:ro \
    your-app-image
  

  容器运行时，Docker的overlay2存储驱动会按需加载所需文件块，不会提前把80GB数据全部解压到主机。

方案2：SquashFS挂载+Docker命名卷 #

利用SquashFS的只读压缩特性，结合Docker本地卷实现：

• 步骤1：将解压后的80GB数据打包为SquashFS镜像（主机需安装squashfs-tools）：

  mksquashfs /path/to/uncompressed/data data.squashfs -comp xz -b 1M
  

  -b 1M设置块大小，适配线性访问，压缩后体积约15GB。
• 步骤2：在主机创建挂载点并挂载SquashFS文件：

  mkdir -p /mnt/squash-data
  mount -o ro,loop data.squashfs /mnt/squash-data
  

  可将挂载命令加入/etc/fstab实现开机自动挂载。
• 步骤3：创建Docker命名卷，绑定到该挂载点：

  docker volume create --driver local \
    --opt type=none \
    --opt o=bind \
    --opt device=/mnt/squash-data \
    readonly-squash-volume
  

• 步骤4：运行容器时使用该卷：

  docker run -d --name your-app \
    --volume readonly-squash-volume:/app/data:ro \
    your-app-image
  

  这种方式无需给容器额外权限，SquashFS的解压在主机层按需进行，主机仅占用15GB的SquashFS文件空间。

方案3：Stargz 按需解压快照器（适合大规模场景） #

如果使用containerd作为容器运行时，可借助stargz-snapshotter实现压缩镜像的按需解压，无需提前拉取完整镜像：

• 步骤1：将数据打包为stargz格式镜像（需ctr工具）：

  ctr image build --output type=image,name=docker.io/your-username/compressed-data:stargz,oci-mediatypes=true,compression=estargz .
  

• 步骤2：配置containerd启用stargz快照器，重启containerd服务。
• 步骤3：运行容器时直接使用该镜像的卷，快照器会按需解压所需文件块，主机仅存储压缩后的镜像。

内容的提问来源于stack exchange，提问作者ridiculous_fish