Python subprocess在Docker容器内执行docker run命令报错问题咨询

该报错和Docker嵌套（Docker in Docker）本身无关，核心是Python subprocess的执行逻辑和交互式终端的Shell解析逻辑不匹配，最常见的触发原因是参数传递错误：

• 你当前调用subprocess.check_call时传入的是拼接后的完整命令字符串，且未指定shell=True参数。subprocess默认模式下不会调用系统Shell做语法解析，只会简单按空白字符切割字符串生成执行参数列表，完全不会识别命令中用于包裹shell子命令的双引号。
• 最终实际传递给docker进程的参数会被错误切割，/bin/sh -c后接的执行内容会变成带多余双引号的残片"ls，而非完整的ls -lFa /; exit命令，自然触发执行失败。
• 你手动在终端执行命令时，交互式Shell会自动完成引号解析、参数合并，能正确将完整子命令传给sh -c，因此可以正常运行。

少数场景下该问题也会由上下文不匹配触发：subprocess启动的子进程未继承交互式终端的环境变量，比如PATH缺失docker路径、执行用户无/var/run/docker.sock读写权限，但这类问题一般会直接抛出command not found或权限拒绝类错误，和当前场景匹配度较低。

禁止使用字符串拼接命令传参，也不推荐开启shell=True（存在命令注入安全风险），直接以列表形式传入按顺序拆分好的参数即可，修正后代码如下：

import subprocess

if __name__ == '__main__':
    python_version = '3.8'
    subprocess.check_call(
        [
            'docker', 'run', f'public.ecr.aws/sam/build-python{python_version}',
            '/bin/sh', '-c', 'ls -lFa  /; exit'
        ]
    )

如果修正参数后仍报错，按以下项排查build-docker容器的启动配置：

• 启动时已将宿主机/var/run/docker.sock挂载到build-docker容器内部
• CI任务执行用户属于docker用户组，对docker.sock有读写权限
• subprocess执行环境的PATH变量包含docker客户端的所在路径

内容的提问来源于stack exchange，提问作者DIZHONG