Docker挂载子目录后父目录出现空目录的原因与部署安全性疑问

空目录的来源 #

这个空的logs目录是Docker处理绑定挂载时自动创建的。你的配置包含两层挂载逻辑：

1. 首先将主机/mnt/app挂载到容器/var/app-data，此时容器内的/var/app-data完全映射主机/mnt/app的内容。
2. 接着要将主机/tmp/logs挂载到容器/var/app-data/logs，Docker需要在容器内的/var/app-data路径下找到logs作为挂载点。由于容器内的/var/app-data对应主机的/mnt/app，如果主机/mnt/app原本没有logs目录，Docker就会自动在主机/mnt/app下创建这个空目录，作为挂载操作的占位符。

是否属于Docker预期行为 #

是的，这是Docker绑定挂载的标准设计行为。当指定的容器内挂载路径（嵌套在已挂载的父目录下）对应的主机路径不存在时，Docker会自动创建该空目录，确保挂载操作能正常执行。

该部署方式的安全性分析 #

这种嵌套挂载方式本身没有绝对风险，但需要关注几个关键问题：

• 权限管控：确保主机/mnt/app和/tmp/logs的权限设置合理，避免容器内进程（尤其是root权限进程）随意修改主机文件系统。建议以非root用户运行容器，通过挂载参数或chown限制读写权限。
• 临时目录局限性：/tmp/logs是系统临时目录，多数Linux发行版会在重启后清空该目录，导致日志丢失，不适合长期存储重要日志。
• 挂载顺序依赖：必须保证父目录挂载先于子目录挂载（docker-compose会按配置顺序处理），否则可能出现子挂载被父挂载覆盖的问题。
• 容器逃逸风险：如果容器被恶意入侵，攻击者可通过挂载点直接访问或修改主机文件，因此需严格限制容器权限（如用--cap-drop禁用不必要的内核能力），避免挂载主机敏感目录。

内容的提问来源于stack exchange，提问作者dokaspar