调试Docker容器构建失败时读取文件报mkdir权限错误求助

问题根因 #

该错误属于典型的权限关联问题，读取文件操作触发目录创建报错，通常是隐含的前置操作导致，常见场景如下：

• 路径拼写错误叠加Shell自动创建规则：你提到的访问路径是/val/log/service，Linux系统标准日志目录为/var/log，如果路径拼写错误，且容器内的Shell（如zsh、bash）配置了命令补全时自动创建不存在路径的规则，或cat/tail/head等命令被配置了先切换到目标文件所在目录的别名，就会在路径不存在时触发自动创建目录的操作，触发权限报错。
• 目标路径为软链接且指向目录不存在：不少服务会将日志目录软链接到数据卷挂载点，若容器启动时未正确挂载对应数据卷，或挂载点的父目录无当前运行用户的写入权限，系统解析软链接时会尝试创建目标目录，触发报错。
• 用户身份与目录权限不匹配：你使用Ubuntu镜像，默认/var/log目录的所有者为root用户，若容器启动时未指定root用户运行，当前用户无该目录的写入权限，任何隐含的目录创建操作都会被拦截。此外Arch宿主机若开启了Docker用户命名空间（User Namespace），宿主机普通用户UID映射到容器内会变为无权限的nobody用户，也会触发该类问题。
• 服务预创建钩子逻辑问题：Ubuntu官方源的部分服务包会配置日志读取前置钩子，读取日志前会先尝试创建日志父目录避免文件不存在报错，若该钩子未做权限判断，会直接触发权限报错。

排查步骤 #

按以下顺序操作可快速定位问题：

1. 验证路径合法性：执行ls /确认根目录下是否存在val目录，执行ls -l /var/log/service确认正确路径是否存在
2. 排查命令别名配置：执行type cat确认输出是否为/usr/bin/cat这类原生二进制路径，若显示为alias，执行unalias cat后再次尝试读取日志
3. 检查软链接配置：执行ls -l /目标日志路径，若输出首字符为l说明为软链接，查看指向的目标路径是否存在，手动执行mkdir -p 软链接指向的父目录验证是否有权限创建
4. 验证用户权限：执行whoami确认当前容器内运行用户，若不是root，使用docker run -it --user root intermediateBuildHash bash重新启动容器，再尝试读取日志确认是否复现报错

修复方案 #

根据排查到的根因选择对应修复方案：

• 路径拼写错误：直接修正路径即可，若Dockerfile中写死了错误路径，修改对应配置后重新构建
• 别名配置问题：删除Dockerfile中错误的别名配置，或给服务运行用户授予对应目录的写入权限
• 软链接挂载问题：在Dockerfile中提前创建软链接指向的目标目录，使用RUN chown -R 运行用户:运行用户组 目标目录赋予对应权限
• 用户权限不匹配：调试阶段可临时加--user root参数启动容器，生产环境建议在Dockerfile中提前配置日志目录的非root用户读写权限，符合容器最小权限运行规范

内容的提问来源于stack exchange，提问作者user1884295