sbt构建Docker镜像运行时GC日志报错、权限拒绝问题排查

该问题由镜像默认配置缺陷+挂载目录权限不匹配共同导致，不是docker run命令缺少必填参数。 #

1. 根因：挂载目录无写入权限 #

报错里的核心错误行已经明确指向问题：

[0.000s][error ][logging] Error opening log file '/opt/docker/log/gc-my-service.log': Permission denied
sbt-native-packager构建的Java应用镜像默认使用非root用户（通常为uid 1001的demiourgos用户）运行服务，不会给日志目录开放全局写入权限。你将宿主机本地日志目录挂载到容器内/opt/docker/log/路径时，Docker会保留宿主机目录的原始属主与权限配置——如果宿主机的..../logs目录是root用户创建、权限为默认的755，容器内的非root运行用户完全没有该目录的写入权限，JVM初始化GC日志输出目标时直接失败，触发进程退出。

至于日志里的Ignoring excess -Xlog options: "filesize=20M"是连带触发的警告：JVM在日志文件打开失败后中断了-Xlog参数的解析流程，才会把后续的filesize=20M识别为冗余参数，不是GC日志参数写法错误。

2. 镜像侧的固有配置问题 #

sbt-native-packager的默认Java镜像模板存在两处适配容器场景的缺陷：

• 构建阶段没有将/opt/docker/log目录的属主调整为镜像内的服务运行用户，也没有给该目录设置适合挂载的宽松权限（如带粘滞位的1777权限）
• 默认硬编码GC日志写入容器内固定文件路径，没有提供默认配置将日志输出到stdout适配容器标准日志收集流程

按需选择即可：

• 临时验证修复：给宿主机挂载的日志目录开全局写权限，执行chmod 777 ..../logs后重新启动容器；也可以在docker run命令中加--user root参数强制用root用户运行服务，生产环境不推荐该方式
• 生产规范修复1：调整sbt构建中的JVM参数配置，将GC日志输出到标准输出，替换原文件输出的-Xlog配置为-Xlog:gc*,heap*:stdout:time,level,tags，GC日志会随应用标准输出走docker logs统一收集，完全不需要挂载本地目录写日志文件，从根源规避权限问题
• 生产规范修复2：如果必须保留本地文件日志的挂载方式，修改sbt的docker构建配置，在镜像构建阶段将/opt/docker/log目录的属主修改为服务运行用户，同时运行容器时指定和宿主机日志目录属主一致的uid/gid（通过--user <uid>:<gid>参数传入），保证容器内进程对挂载目录有写入权限。

内容的提问来源于stack exchange，提问作者Mandroid