如何为Docker共享卷配置权限，让www-data用户可访问？

以下是一个简单的示例docker-compose配置（已修正语法缩进问题）：

version: '2.4'
services:
  webserver:
    image: "webserver:latest" # apache, nginx, caddy, whatever
    volumes:
      - "shared_storage:/app/storage/shared"

  analyser:
    image: "custom:latest" # any custom script doing stuff on a volume
    volumes:
      - "shared_storage:/local/storage/shared"

volumes:
  shared_storage:

问题在于，shared_storage卷默认以root用户拥有，权限为644（也可通过user:指定其他用户），但webserver内部以www-data用户运行（无法提前知晓其用户ID）。请问如何授予webserver对shared_storage卷的访问权限？

这里有几种可靠的实操方法解决该权限问题：

1. 临时初始化服务预设置权限 #

添加一次性初始化服务，在其他服务启动前创建卷内目录并配置www-data权限，利用镜像内自带的用户信息确保适配性：

version: '2.4'
services:
  volume-init:
    image: webserver:latest # 和webserver用同一镜像，保证www-data用户存在
    command: >
      sh -c "
        mkdir -p /app/storage/shared;
        # 动态获取www-data的组ID，避免硬编码
        GROUP_ID=$(getent group www-data | cut -d: -f3);
        chown -R :$GROUP_ID /app/storage/shared;
        chmod -R g+rw /app/storage/shared;
      "
    volumes:
      - shared_storage:/app/storage/shared
    restart: "no" # 执行完成即退出

  webserver:
    image: "webserver:latest"
    volumes:
      - "shared_storage:/app/storage/shared"
    depends_on:
      - volume-init

  analyser:
    image: "custom:latest"
    volumes:
      - "shared_storage:/local/storage/shared"

volumes:
  shared_storage:

2. 在webserver启动脚本中动态调整 #

修改webserver的启动命令，在启动主服务前先尝试修正卷目录权限，避免因权限问题导致服务启动失败：

webserver:
  image: "webserver:latest"
  volumes:
    - "shared_storage:/app/storage/shared"
  command: >
    sh -c "
      # 加|| true避免无权限修改时中断启动
      chown -R www-data:www-data /app/storage/shared || true;
      # 替换为对应web服务的启动命令，比如nginx用nginx -g 'daemon off;'
      apache2-foreground
    "

3. 使用POSIX ACL实现灵活权限控制 #

若主机和容器均支持ACL，可通过ACL给www-data用户设置持久化的读写权限，后续新增文件也会自动继承：

volume-init:
  image: webserver:latest
  command: >
    sh -c "
      mkdir -p /app/storage/shared;
      # 给现有文件设置权限
      setfacl -R -m u:www-data:rwX /app/storage/shared;
      # 给新增文件默认设置权限
      setfacl -R -d -m u:www-data:rwX /app/storage/shared;
    "
  volumes:
    - shared_storage:/app/storage/shared
  restart: "no"

4. 自定义镜像预配置挂载目录权限 #

如果有权限修改webserver镜像，可在Dockerfile中提前创建挂载目录并设置好www-data权限，挂载卷时会自动继承目录权限：

FROM webserver:latest
RUN mkdir -p /app/storage/shared && chown -R www-data:www-data /app/storage/shared

内容的提问来源于stack exchange，提问作者bloodycheri