docker exec与容器内创建文件权限不一致问题及解决咨询

问题描述 #

1. 宿主机执行命令在容器内创建文件：

docker exec -u root container_1 touch /working/flag.tmp

查看该文件权限为：rw-r-----

2. 进入容器内部执行相同touch命令创建文件，权限为：rw-r--r--

3. 补充：宿主机直接用touch创建的文件权限，与容器内直接创建的一致。

疑问：

• 如何让docker exec创建的文件与容器内创建的文件权限一致？
• 导致该权限不一致问题的原因是什么，如何尽可能避免？

问题原因 #

核心差异在于**docker exec默认以非交互式非登录shell执行命令，不会加载容器内用户的shell环境配置**，其中关键的就是umask设置。

容器内直接执行命令时，shell会加载用户（如root）的环境配置文件（比如/root/.bashrc、/etc/profile），默认umask通常为0022，因此创建文件时权限为666-0022=644（即rw-r--r--）。

而docker exec -u root执行命令时，非交互式shell不会加载这些配置，此时系统默认的umask可能是0027（或其他自定义值），计算后文件权限为666-0027=640（即rw-r-----）。

宿主机touch权限与容器内一致，是因为宿主机shell同样加载了自身的umask配置，和容器内直接执行时的umask值相同。

解决方法：让docker exec创建的文件权限一致 #

1. 显式指定umask后执行命令 #

在docker exec中先设置目标umask再执行操作：

docker exec -u root container_1 sh -c "umask 0022 && touch /working/flag.tmp"

强制使用与容器内shell一致的umask值，确保权限匹配。

2. 以交互式shell执行命令 #

通过-i和-t参数启动交互式shell，触发环境配置加载：

docker exec -it -u root container_1 touch /working/flag.tmp

交互式shell会自动加载用户的shell配置，继承对应的umask设置。

3. 容器内全局设置umask（持久化方案） #

如果需要长期统一规则，可在镜像构建或容器启动时配置全局umask：

• 构建镜像时，在Dockerfile中添加：

RUN echo "umask 0022" >> /etc/profile

这样所有登录/交互式shell都会使用该umask，部分非交互式场景若加载/etc/profile也会生效。

如何避免此类问题 #

• 优先通过容器内交互式shell执行操作，或在docker exec中显式加载环境配置（如sh -c "source /etc/profile && touch ..."）。
• 构建镜像时统一设置全局umask，确保不同执行方式下的权限规则一致。
• 敏感文件不要依赖默认umask，创建时直接用chmod指定权限，例如：

docker exec -u root container_1 sh -c "touch /working/flag.tmp && chmod 644 /working/flag.tmp"

内容的提问来源于stack exchange，提问作者enlighten