Docker本地部署Django项目报/app/vol/web/static权限拒绝错误

• 容器内运行Django进程的用户无目标路径读写权限：Docker部署Django时通常会创建非root用户运行服务以提升安全性，如果/app/vol/web/static目录是root用户创建（比如Dockerfile中在切换普通用户前用root身份创建目录未修改权限），非root用户写入静态文件时就会触发权限拒绝。
• 路径配置存在隐患：当前STATIC_ROOT、MEDIA_ROOT使用相对路径，若容器工作目录与预期不符，路径会解析到非预期位置，若该位置归属root用户也会触发报错。
• 挂载卷权限不匹配：如果通过bind mount将本地目录挂载到容器的/app/vol路径，本地目录默认归属宿主机当前用户，容器内普通用户的UID/GID和宿主机用户不匹配时，也会没有目录写入权限。

1. 先修正settings.py中的路径配置，使用基于BASE_DIR的绝对路径，避免路径解析错误：
   先确认settings.py顶部已正确定义BASE_DIR（Django默认生成的配置一般自带该定义）：

   from pathlib import Path
   BASE_DIR = Path(__file__).resolve().parent.parent
   

   替换原有的静态、媒体文件根路径配置：

   STATIC_URL = '/static/static/'
   MEDIA_URL='/static/media/'
   
   MEDIA_ROOT = BASE_DIR / 'vol/web/media'
   STATIC_ROOT = BASE_DIR / 'vol/web/static'
   

2. 调整Dockerfile配置，在构建阶段给运行服务的普通用户分配目录权限，参考配置片段如下：

   # 以下操作在切换到普通运行用户前执行（假设你创建的普通运行用户名为app）
   RUN mkdir -p /app/vol/web/static /app/vol/web/media \
       && chown -R app:app /app/vol
   
   # 权限配置完成后再切换到普通用户运行服务
   USER app
   

   如果你是在切换到普通用户之后才创建的上述目录，目录默认权限归属普通用户，无需额外执行chown操作。
3. 若使用docker-compose做本地开发挂载卷，首次启动前可执行一次权限初始化命令，修正挂载目录的归属：

   docker compose run --rm <你的Django服务名> sh -c "chown -R app:app /app/vol && python manage.py collectstatic --noinput"
   

4. 重新构建镜像、启动容器即可正常运行。

注意：不要为了快速解决直接给目录设置777权限，会带来不必要的安全风险，按照最小权限原则将目录所有者分配给运行服务的用户即可。

内容的提问来源于stack exchange，提问作者Azpect