启用readOnlyRootFilesystem的K8s Pod中Python应用运行报错求助

Fatal Python error: Py_Initialize: Unable to get the locale encoding / ModuleNotFoundError: No module named 'encodings'是Python启动时找不到核心标准库的典型报错，和readOnlyRootFilesystem策略无直接关系——你当前已经给Apache需要写入的/var/lock/apache2、/var/log/apache2、/var/run/apache2、/tmp路径都挂载了可写emptyDir，只读根文件系统的适配本身是对的。
结合你提供的Deployment manifest，有两个高概率触发点：

• 你将空的emptyDir卷var-lock挂载到了/etc/apache2/conf-available路径，这个操作会直接覆盖镜像内该路径下的所有原有Apache配置文件。如果原配置中定义了Python运行相关的环境变量（如PYTHONHOME、PYTHONPATH），挂载空目录后配置会全部丢失，Apache拉起Python进程时找不到标准库路径，就会触发该错误。
• 你配置了runAsUser: 1000、runAsGroup: 1000的非root运行身份，如果镜像内Python标准库目录（如/usr/lib/python3.6）的权限为root仅可读，1000用户无读取、执行权限，也会导致Python加载核心模块失败。

按顺序执行即可定位问题：

1. 临时打开manifest中注释的command: ["tail","-f","/dev/null"]配置，启动Pod后进入容器直接手动执行python3.6命令：
   • 如果直接运行Python就报相同错误：先执行echo $PYTHONPATH $PYTHONHOME检查Python路径环境变量是否正常，再执行ls -l /usr/lib/python3.6/encodings检查核心模块文件是否存在、属主权限是否允许1000用户访问。
   • 如果直接运行Python正常，仅Apache调用时报错：可确定是Apache运行时环境未正确加载Python路径配置，和Python本身安装、权限无关。
2. 临时移除/etc/apache2/conf-available的volumeMount配置，重启Pod验证错误是否消失，确认是不是空目录覆盖原有配置导致的问题。

按优先级调整配置即可：

• 第一优先级：删除- mountPath: /etc/apache2/conf-available的错误挂载。空emptyDir不能直接挂载到镜像内本身存在配置文件的系统路径，如果需要自定义Apache配置，用ConfigMap挂载单个目标配置文件即可，不要挂载整个目录覆盖原有内容。
• 第二优先级：如果排查确认是权限问题，两种修复方式二选一：
  • 在构建镜像的Dockerfile中调整Python标准库目录的属主和权限，保证1000用户有读取、执行权限；
  • 临时将runAsUser改为0测试是否恢复（生产环境不推荐长期用root身份运行服务），确认权限问题后再做最小权限调整。
• 第三优先级：如果是只读根文件系统导致Python无法写入字节码缓存触发异常，添加环境变量将缓存路径指定到已挂载可写emptyDir的/tmp目录即可，配置示例：

  env:
  - name: PYTHONPYCACHEPREFIX
    value: /tmp/pycache
  

• 你注释掉的/usr/lib/python3.6挂载空emptyDir的配置绝对不要启用，空目录挂载上去会直接覆盖整个Python标准库，必然导致Python无法启动。

内容的提问来源于stack exchange，提问作者T Ravi Theja