Docker volumes共享给Jupyter致目录锁定 寻求无宿主机权限影响的方案

权限报错的核心原因是容器内运行Jupyter服务的默认jovyan用户，对挂载到/home/jovyan/work的宿主机目录没有对应读写权限。
你之前使用root用户启动+递归修改home目录属主的方案存在设计缺陷：Docker的目录挂载是直接透传文件系统的UID/GID权限标识，容器内对挂载目录执行chown操作会直接改写宿主机对应文件的属主信息，这也是你遇到宿主机目录出现锁标识、属主变为陌生UID、普通用户无法操作的根本原因。

Jupyter官方维护的base-notebook镜像原生支持自定义运行用户的UID/GID，只需要在启动时传入和宿主机当前用户一致的UID/GID，同时排除挂载目录的chown操作，就能完全避免修改宿主机文件权限，同时解决容器内的读写权限问题。

操作步骤 #

• 先确认当前宿主机用户的UID、GID，Ubuntu桌面环境默认用户的UID/GID通常为1000/1000，也可以执行以下命令直接获取：

  id -u # 输出当前用户UID
  id -g # 输出当前用户GID
  

• 使用以下命令启动容器，命令中已经嵌入UID/GID的自动获取逻辑，执行时会自动读取当前用户的权限标识，无需手动替换数值：

  docker run -it \
      -v "${PWD}":/home/jovyan/work \
      -p 8888:8888 \
      --user root \
      -e NB_UID=$(id -u) \
      -e NB_GID=$(id -g) \
      -e CHOWN_HOME="yes" \
      -e CHOWN_HOME_OPTS="-R --no-dereference" \
      -e CHOWN_EXCLUDE="/home/jovyan/work" \
      jupyter/base-notebook
  

参数说明 #

• NB_UID/NB_GID：镜像内置启动脚本会在服务启动前，将容器内jovyan用户的UID/GID修改为传入的数值，和宿主机当前用户的UID/GID完全匹配。Linux文件系统靠UID/GID数值判断读写权限，匹配后容器内的jovyan用户自然对宿主机挂载目录拥有完整读写权限，无需修改任何文件的属主信息。
• CHOWN_EXCLUDE="/home/jovyan/work"：明确告知启动脚本在执行home目录属主修改时，直接跳过挂载的work目录，从根源上避免容器进程触碰宿主机挂载目录的权限配置。
• --no-dereference：chown操作不跟随符号链接，避免误修改容器内其他关联路径的权限。

历史问题修复 #

如果你之前已经用错误命令启动过容器，导致宿主机目录属主被篡改为陌生UID，在宿主机对应目录下执行以下命令即可恢复权限：

sudo chown -R $USER:$USER ./

内容的提问来源于stack exchange，提问作者SkuPak