以UID:GID 1000:1000运行官方MySQL Docker镜像权限问题求助

安全阿岳

2026-5-7

解决MySQL Docker镜像以UID 1000:1000运行的权限问题

我来帮你梳理下问题根源和解决方案：

问题核心原因

你遇到的权限报错主要来自两个关键点：

挂载卷的权限继承：你挂载了主机的./var/mysql到容器的/var/lib/mysql，容器启动后这个目录的权限完全继承主机目录的权限——而主机目录大概率是root所有，导致容器内的app用户（UID1000）无法写入。
非root用户无法修改权限：你在docker-compose里指定了user:1000:1000，容器启动后直接以非root用户运行，没有权限调整/var/lib/mysql的目录权限，而官方MySQL的entrypoint脚本在非root模式下不会自动处理权限修复。

另外，你Dockerfile里的chown -R app:app /var/lib/mysql只对镜像内的空目录生效，挂载主机卷后会被覆盖，所以完全起不到作用。

分步解决方案

1. 先修复主机挂载目录的权限

在主机上执行这条命令，确保挂载目录属于UID1000用户：

sudo chown -R 1000:1000 ./var/mysql

2. 修改Dockerfile，添加自定义Entrypoint脚本

我们需要一个自定义的entrypoint，先以root身份完成权限校验/修复，再切换到app用户执行官方的MySQL启动逻辑：

FROM mysql:5.7

# 创建UID/GID 1000的app用户，并关联mysql组
RUN addgroup --gid 1000 app \
 && adduser --gecos "" --home /home/app --shell /bin/bash --disabled-password --uid 1000 --gid 1000 app \
 && adduser app mysql \
 && adduser mysql app

# 复制自定义entrypoint脚本
COPY docker-entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/docker-entrypoint.sh

# 复制配置文件
COPY mysql.cnf /etc/mysql/conf.d/99-docker.cnf
COPY .my.cnf /home/app/.my.cnf
COPY .root.cnf /root/.my.cnf

# 修复配置文件权限（.my.cnf设为0600更安全，避免密码泄露）
RUN chmod 0664 /etc/mysql/conf.d/99-docker.cnf \
 && chown app:app /home/app/.my.cnf \
 && chmod 0600 /home/app/.my.cnf

# 设置自定义entrypoint，默认以root启动
ENTRYPOINT ["docker-entrypoint.sh"]
EXPOSE 3306
CMD ["mysqld", "--character-set-server=utf8mb4", "--collation-server=utf8mb4_unicode_ci"]

3. 创建自定义Entrypoint脚本

在Dockerfile同目录下创建docker-entrypoint.sh文件：

#!/bin/bash
set -eo pipefail

# 确保数据目录权限正确，app用户可读写
chown -R app:app /var/lib/mysql
chmod -R g+wrx /var/lib/mysql

# 切换到app用户，执行官方MySQL的entrypoint脚本
exec gosu app /usr/local/bin/docker-entrypoint.sh "$@"

4. 调整docker-compose配置

去掉user:1000:1000字段，让容器默认以root启动，交给自定义entrypoint处理用户切换：

version: "3"
services:
  mysql:
    build:
      context: ./docker/mysql
      dockerfile: Dockerfile
    env_file:
      - .env
    volumes:
      - ./var/mysql:/var/lib/mysql
    ports:
      - 3307:3306

为什么这样能解决问题？

容器启动时以root身份运行，拥有足够权限调整/var/lib/mysql的权限，确保app用户能读写。
用gosu（官方MySQL镜像内置的工具）安全切换到app用户，再调用官方的entrypoint脚本，保留了镜像原有的初始化逻辑（比如创建数据库、设置密码等）。
主机目录提前设置正确权限，避免后续挂载后出现权限不匹配的问题。

现在重新执行docker-compose up --build mysql，应该就能正常启动MySQL服务了。

内容的提问来源于stack exchange，提问作者Philipp Wrann