为何宿主机与容器中/var/run/docker.sock的所有者和用户组存在差异

• 从你提供的宿主机路径可判断环境为macOS的Docker Desktop，Docker本身运行在后台Linux虚拟机中，宿主机上的/var/run/docker.sock仅为软链接，绑定挂载到容器时会被自动替换为虚拟机内的真实sock文件，因此容器内显示的属主属组为虚拟机内的权限值，和macOS宿主机软链接显示的权限没有关联，出现不一致是正常现象。
• 容器默认使用独立的用户命名空间，内部的uid/gid和外部系统的uid/gid没有绑定关系，非root用户运行容器时，该用户不在容器内sock文件的允许访问组中，自然会触发权限拒绝。

可根据使用场景选择以下方案：

方案1：启动时附加对应组权限（推荐，无需修改镜像） #

启动容器时通过--group-add参数给运行用户添加容器内sock文件所属组的访问权限，你当前场景下sock的组ID为0，直接执行以下启动命令即可：

docker run -it \
  -v /var/run/docker.sock:/var/run/docker.sock \
  --group-add 0 \
  <你的镜像名称>

如果后续环境变化sock的组ID有变动，替换上面命令中的0为实际组ID即可。

方案2：镜像构建时预配置权限 #

如果需要固定配置，可在Dockerfile中提前创建对应组并将运行用户加入组：

# 假设容器内运行用户名为runuser，sock组ID为0
RUN groupadd -g 0 docker && \
    usermod -aG docker runuser

构建镜像后正常启动即可，不需要额外加启动参数。

方案3：临时放宽权限（仅适用于本地调试，禁止生产环境使用） #

如果只是临时验证功能，可直接修改sock文件的全局读写权限：

# 该操作会开放docker API的全部访问权限，存在严重安全风险
chmod 666 /var/run/docker.sock

内容的提问来源于stack exchange，提问作者Richard Kiefer