K8s Deployment中volumes与volumeMounts的readOnly配置区别

这两个配置作用层级完全不同，不存在冗余，你测试时感知到效果一致只是刚好配置场景重叠了。

1. volumes.persistentVolumeClaim.readOnly：卷级全局配置 #

这个配置在宿主机挂载PV阶段生效，作用范围覆盖整个Pod内所有引用该PVC的容器（含init容器、业务容器、sidecar容器）：

• 设为true时，Kubelet会直接在宿主机层面以只读模式把PV挂载到Pod的对应目录，Pod内所有容器都无法对卷做写入操作，哪怕容器内的挂载配置设为可读写也无法突破这个底层限制。
• 该配置会触发存储层面的挂载模式适配：如果存储支持多节点只读访问（ROX模式），设置该参数后同一个PV可以同时被多个节点上的Pod以只读模式挂载，这个能力是容器级readOnly不具备的。

2. volumeMounts.readOnly：单容器挂载点的局部配置 #

这个配置在容器启动阶段生效，作用范围仅对当前容器的当前挂载路径有效，不会影响同Pod内其他容器对同一个卷的访问权限：

• 灵活度更高，可以针对同一个卷给不同容器配不同权限：比如日志采集sidecar需要写入日志路径就配可读写，业务进程只需要读配置就配只读。
• 当卷级readOnly设为false时，只有配置了readOnly: true的挂载点是只读的，其他容器/其他挂载点可以正常写入。

你给出的示例里，init容器同时配置了卷级只读和挂载点只读，两层限制同时生效，最终容器内都无法写入，自然感知不到差异。但二者适用场景有明确区分：

• 整个Pod所有容器都不需要写入该卷时，优先配置卷级readOnly，从底层锁死写入权限，安全性更高，还能适配多节点只读挂载场景。
• 仅部分容器/部分挂载路径需要只读访问，其余场景需要写入时，不要开卷级只读，只在对应volumeMounts下配置只读即可。

注意：如果volumeMounts配置了subPath挂载卷的子目录，部分低版本Kubernetes中卷级readOnly不会对子路径挂载生效，必须在挂载点层面也配置readOnly: true才能保证子目录只读。你给出的示例中init容器就用了subPath挂载TLS证书目录，同时配置两个只读属于正确的兼容写法，不是冗余配置。

内容的提问来源于stack exchange，提问作者Gr3at