如何构建可阻止指定目录被volume自动挂载的Docker镜像

可以通过对Docker镜像做配置实现该需求，以下是两种可行方案及注意事项：

该方案完全在镜像内部实现，不需要修改外部启动逻辑，适用绝大多数场景：

• 先确认你的平台自动挂载的用户家目录在容器内的固定挂载路径，常见为/home/[用户名]或者统一的/home/user路径
• 编写自定义ENTRYPOINT脚本entrypoint.sh，示例内容如下：

#!/bin/bash
# 替换为实际的目标挂载路径
TARGET_DIR="/home/user"

# 检测路径是否被外部挂载
if mount | grep -q "on ${TARGET_DIR} type"; then
  # 懒卸载挂载的目录
  umount -l ${TARGET_DIR}
  # 可选步骤：如果镜像内原有该目录的内容，构建时提前备份到其他路径，卸载后恢复
  # cp -rf /opt/home_backup/* ${TARGET_DIR}/
fi

# 执行原有容器启动逻辑
exec "$@"

• 修改Dockerfile配置，添加入口脚本：

# 可选：预先备份镜像内原有的家目录内容
RUN cp -a /home/user /opt/home_backup

COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]

# 保留原镜像的CMD配置不变
CMD ["your-original-container-start-command"]

注意：该方案需要容器启动时拥有CAP_SYS_ADMIN权限，若你的平台启动容器时默认禁用了该权限，可使用方案2。

如果容器没有卸载挂载点的权限，可以通过修改镜像内挂载点的类型让外部挂载自动失败：

• 在Dockerfile中把目标挂载路径从目录修改为普通文件：

RUN rm -rf /home/user && touch /home/user

• 外部系统执行bind mount时，会因为「挂载源是目录、挂载目标是普通文件」的类型不匹配报错，自动跳过该目录的挂载。

注意：如果你的平台在目录挂载失败后会直接终止容器启动，该方案不适用，优先选择方案1。

• 仅通过VOLUME指令声明镜像内路径：外部bind mount的优先级高于镜像自带的VOLUME定义，无法阻止挂载，仅会在没有外部挂载时自动创建匿名卷。
• 修改目录权限/属性：bind mount会完全覆盖目录的原有权限、属性和内容，无法阻止挂载操作。

内容的提问来源于stack exchange，提问作者Shorpy