使用Supervisord联动PHP&Nginx在Cloud Run遇502及系统调用不支持问题

我之前踩过类似Cloud Run + Alpine + Unix Socket的坑，你的情况核心原因大概率是Cloud Run的gVisor沙箱限制了Alpine PHP-FPM所需的prctl系统调用，导致PHP-FPM无法正常初始化Unix Socket，Nginx找不到Socket就返回502。

问题分析 #

从你提供的StackDriver日志能明确看到关键线索：

2019-05-19 11:31:50.246 CEST Container Sandbox Limitation: Unsupported syscall prctl(0x4,0x1,0x0,0x0,0x0,0x20)

Alpine默认使用musl libc，而PHP-FPM在初始化（尤其是创建Unix Socket、设置进程安全属性时）会调用prctl，但Cloud Run的gVisor沙箱对部分prctl操作做了限制，这直接导致PHP-FPM启动失败——Unix Socket根本没被创建，这就是Nginx提示找不到Socket的本质原因。

而非Alpine镜像（比如Debian/Ubuntu基础的PHP镜像）用的是glibc，其prctl调用逻辑和musl不同，刚好避开了gVisor的限制；改用TCP端口9000时，PHP-FPM的初始化路径不一样，也不会触发这个受限的prctl调用，所以两种场景都能正常运行。

可行的解决方案 #

1. 切换到TCP端口（最快速的应急方案） #

虽然你提到Unix Socket理论更优，但在Cloud Run的沙箱环境下，TCP端口的兼容性拉满。只需要修改两个配置：

• PHP-FPM配置（fpm.conf）：把listen = /path/to/socket.sock改成listen = 127.0.0.1:9000
• Nginx配置（portfolio.conf）：把fastcgi_pass unix:/path/to/socket.sock;改成fastcgi_pass 127.0.0.1:9000;

这个方案不需要改动镜像，几分钟就能验证有效性，适合紧急上线场景。

2. 使用带glibc的Alpine衍生镜像（兼顾轻量与兼容性） #

如果想保留Alpine镜像的轻量优势，同时解决musl libc的兼容性问题，可以替换基础镜像为支持glibc的Alpine版本，比如frolvlad/alpine-glibc:alpine-3.9，再在上面安装PHP 7.3.5。

修改Dockerfile的基础镜像部分：

FROM frolvlad/alpine-glibc:alpine-3.9 as base
# 后续需要调整PHP的安装流程，比如直接下载预编译的PHP二进制包，因为官方php:alpine镜像依赖musl

这个方案需要调整镜像构建逻辑，但能同时保留Alpine的体积优势和glibc的兼容性。

3. 补充检查Unix Socket的路径与权限（排除基础问题） #

虽然本地运行正常，但Cloud Run的容器运行环境可能有不同的用户/权限设置，建议做以下检查：

• 确保PHP-FPM配置中指定的Socket目录存在，且PHP-FPM运行用户有读写权限
• 比如在Dockerfile中添加：

  RUN mkdir -p /run/php-fpm && chown $APP_USER:$APP_USER_GROUP /run/php-fpm
  

  然后把PHP-FPM的listen设置为/run/php-fpm/php-fpm.sock，Nginx配置对应路径即可。

这一步主要是排除权限类的基础问题，结合日志来看核心还是prctl限制，但作为前置检查很有必要。

总结 #

最快速有效的方案是切换到TCP端口9000；如果一定要坚持用Unix Socket，推荐尝试带glibc的Alpine衍生镜像。另外，Cloud Run的沙箱限制会随版本更新调整，你也可以关注Google Cloud的更新日志，看后续是否支持了相关的prctl调用。

内容的提问来源于stack exchange，提问作者Guikingone