Windows容器Dockerfile COPY命令报「Access Denied」错误求助

核心问题分析 #

错误chtimes ... Access denied本质是Docker修改文件时间戳时权限不足，大概率是切换Windows/Linux守护进程后，卷或缓存目录权限出现混乱，导致后续构建无法操作目标目录文件。

1. 彻底清理Docker残留资源 #

先清空所有可能引发权限冲突的容器、卷和缓存：

• 停止并删除Web应用相关容器及卷：

  docker-compose -f ./docker/stage/docker-compose-staging.yml down -v
  

• 强制清理所有无用镜像、卷、网络和缓存：

  docker system prune -af --volumes
  

  该命令会删除所有未使用资源，确保环境回到干净状态。

2. 修改Dockerfile规避权限问题 #

在COPY步骤前后添加权限调整操作，确保Docker有足够权限操作目标目录：

# 切换到容器管理员用户
USER ContainerAdministrator

# 清空目标目录，避免残留文件的权限干扰
RUN Remove-Item -Recurse -Force C:\xampp\htdocs\* -ErrorAction SilentlyContinue

# 复制本地文件到容器
COPY . C:\xampp\htdocs

# 给目标目录设置全权限，避免后续运行或构建时权限不足
RUN icacls C:\xampp\htdocs /grant Everyone:F /T

若有安全需求，可将Everyone替换为XAMPP运行的指定用户（如IUSR），但Everyone:F是最直接的临时解决方案。

3. 消除守护进程切换的残留影响 #

不要在同一条流水线中频繁切换Windows/Linux守护进程，建议拆分流水线：

• 流水线1：全程使用Windows守护进程，专门构建并运行Windows Web应用容器
• 流水线2：单独使用Linux守护进程运行Selenium/Python测试，通过Docker主机IP访问Web应用服务（需确保Windows容器端口映射到主机，且防火墙允许访问）

若必须在同一条流水线切换，切换守护进程后必须执行docker system prune -af --volumes彻底清理，再启动Windows容器构建。

4. 确保GitLab Runner权限足够 #

• 打开Windows服务管理器，找到GitLab Runner服务，右键选择「属性」，在「登录」选项卡设置为「本地系统账户」并勾选「允许服务与桌面交互」
• 在Runner的config.toml中，确保shell = "powershell"，并在执行脚本前添加Set-ExecutionPolicy Bypass -Scope Process -Force避免PowerShell执行权限限制

内容的提问来源于stack exchange，提问作者Alvu Power