Windows Docker挂载非空目录重启MongoDB报权限错误

这个报错的核心原因是Windows系统下Docker Desktop将NTFS格式的宿主机目录挂载到Linux容器的/data/db路径时，文件系统的POSIX权限语义不兼容MongoDB默认WiredTiger存储引擎的运行要求：

• 宿主机目录为空首次启动时，Docker默认分配的临时权限足够容器内mongodb用户（UID 999）完成初始数据文件创建，因此可以正常运行。
• 首次运行写入数据后，WiredTiger需要以内存映射、独占文件锁的方式打开已生成的WiredTiger.wt等核心数据文件，而NTFS文件系统无法支持Linux侧的专属文件锁、权限位校验逻辑，直接拦截文件打开操作，抛出Operation not permitted错误。
  这个故障和配置的账号密码、初始化脚本内容、Docker版本、宿主机目录的普通读写权限没有直接关系。

方案1：使用Docker命名卷（官方推荐，无兼容风险） #

不要直接挂载Windows宿主机的本地目录，改用Docker自动管理的命名卷存储数据，Docker会自动完成Windows到Linux容器的文件系统权限、文件锁逻辑适配，完全兼容WiredTiger的所有文件操作要求，重启、升级容器都不会出现权限报错。
修改后的docker-compose配置如下：

version: '3.7'
services:
  mongodb_dev:
    image: 'mongo:5.0.9'
    container_name: 'mongo_example'
    environment:
      MONGO_INITDB_ROOT_USERNAME: ankit
      MONGO_INITDB_ROOT_PASSWORD: password1234
      MONGO_INITDB_DATABASE: testdb
    ports:
      - 27017:27017
    volumes:
      - ./init-mongo.js:/docker-entrypoint-initdb.d/init-mongo-js:ro
      - mongo_data:/data/db
volumes:
  mongo_data:

修改完成后先清空之前c:\mongo_data目录下生成的异常数据文件，再执行docker compose up -d即可正常启动。如果需要备份卷内数据，可以通过docker cp命令从运行中的容器导出数据文件。

方案2：关闭WiredTiger独占锁（仅适合测试环境，有数据损坏风险） #

如果必须直接挂载Windows宿主机目录存储数据，可以通过启动参数关闭WiredTiger的部分文件校验逻辑，绕过NTFS的权限拦截，但这种方式在容器异常退出、宿主机断电时很容易损坏数据文件，绝对不能用于生产环境。
在docker-compose的服务配置中增加command字段即可：

command: --wiredTigerEngineConfigString="file_manager=(close_idle_time=100000)"

附加修正：初始化脚本问题 #

当前使用的init-mongo.js没有切换到目标数据库，自定义用户的创建逻辑不会生效，需要修改为如下内容才能正常初始化账号：

db = db.getSiblingDB('testdb');
db.createUser(
   {
     user: "myuser",
     pwd: "strongpassword",
     roles: [ "readWrite", "dbAdmin" ]
   }
)

内容的提问来源于stack exchange，提问作者Ankit