如何通过Docker Compose调整Docker命名卷权限实现跨容器读写？

1. 统一容器的用户ID（UID）和组ID（GID） #

Docker卷的文件权限依赖主机系统的UID/GID映射，而非容器内的用户名。PostgreSQL官方镜像默认使用postgres用户（UID=999，GID=999），只需让NestJS容器以相同UID/GID运行，即可直接读取PostgreSQL写入的文件。

Docker Compose配置示例： #

version: '3.8'
services:
  postgres:
    image: postgres:15
    volumes:
      - shared-data:/var/lib/postgresql/data
    environment:
      POSTGRES_USER: postgres
      POSTGRES_PASSWORD: password

  nestjs-app:
    build: ./nestjs-app
    volumes:
      - shared-data:/app/shared-data
    user: "999:999"  # 使用PostgreSQL默认的UID/GID
    command: npm run start

volumes:
  shared-data:

如果你的NestJS应用需要以特定用户运行，可以自定义PostgreSQL的UID/GID，通过构建自定义镜像实现：

自定义PostgreSQL镜像的Dockerfile：

FROM postgres:15
RUN usermod -u 1000 postgres && groupmod -g 1000 postgres

然后在docker-compose.yml中使用这个自定义镜像，同时让NestJS容器用UID=1000运行。

2. 挂载卷时指定权限参数 #

在卷挂载时通过权限选项直接设置目录权限，适用于需要放宽全局权限的场景：

Docker Compose配置示例： #

version: '3.8'
services:
  postgres:
    image: postgres:15
    volumes:
      - shared-data:/var/lib/postgresql/data:rw,z
    environment:
      POSTGRES_USER: postgres
      POSTGRES_PASSWORD: password

  nestjs-app:
    build: ./nestjs-app
    volumes:
      - shared-data:/app/shared-data:rw,z

volumes:
  shared-data:
    driver_opts:
      type: none
      o: bind
      device: /path/on/host/shared-data

注：z选项用于SELinux环境，确保容器能正确访问文件；如果不需要SELinux支持，可以去掉。如果要直接设置目录权限为755（允许同组读写），可以在主机预先创建目录并设置权限，再通过bind挂载。

3. 初始化脚本自动调整权限 #

在PostgreSQL容器启动时，添加初始化脚本修改共享卷的权限，确保NestJS能访问：

步骤1：创建初始化脚本init-permissions.sh #

#!/bin/bash
chmod -R 755 /var/lib/postgresql/data
chown -R postgres:postgres /var/lib/postgresql/data
# 额外给NestJS需要读取的目录添加权限
chmod -R o+r /var/lib/postgresql/data/shared-files

步骤2：在Docker Compose中挂载脚本到PostgreSQL的初始化目录 #

version: '3.8'
services:
  postgres:
    image: postgres:15
    volumes:
      - shared-data:/var/lib/postgresql/data
      - ./init-permissions.sh:/docker-entrypoint-initdb.d/init-permissions.sh
    environment:
      POSTGRES_USER: postgres
      POSTGRES_PASSWORD: password

  nestjs-app:
    build: ./nestjs-app
    volumes:
      - shared-data:/app/shared-data

volumes:
  shared-data:

注：PostgreSQL会在首次启动时自动执行/docker-entrypoint-initdb.d/下的脚本，确保权限设置在数据写入前完成。

关键注意事项 #

• 避免使用777权限：这会带来安全风险，优先使用UID/GID统一或更精细的权限设置。
• 检查容器内用户：运行docker exec <container-id> id可以查看容器内当前用户的UID/GID。
• 自定义镜像时确保依赖权限：如果NestJS应用需要写入缓存等目录，需确保这些目录的权限也适配指定的UID/GID。

内容的提问来源于stack exchange，提问作者efong5