Docker dind环境下挂载主机路径到容器实现数据读写的问题咨询

问题背景 #

我有一个关于Docker的问题：我正在运行一个docker:dind容器，通过API对其进行管控，启动该dind容器的命令如下：

docker run --network some_network --prvileged -e DOCKER_TLS_CERTDIR= -d -p 2375:2375 -p 2376:2376 -v TransformationData:/mnt docker:dind

我通过命名卷将数据存入dind容器的/mnt目录下。

问题现象 #

我需要通过API启动一个容器，对/mnt目录下的数据进行转换处理，并将转换后的结果存回同一目录，以便我通过命名卷使用这些数据，我调用的API请求如下：

<REQUEST OPERATION="POST" URL="/containers/create" CONTENT-TYPE="application/json">
     <CONTENT>
        {
            "Image":        "citygml4j/citygml-tools",
            "AttachStdin":  true,
            "HostConfig": {"Binds": [
                            "/mnt:/data[[r]shared, [rw]]"
                    ]}} ,
            "Cmd":
            [
            "to-cityjson",
            "/data"
            ]            
        }
     </CONTENT>
  </REQUEST>

<REQUEST OPERATION="POST" CONTENT-TYPE="application/json">
        <xsl:attribute name="URL">/containers/<xsl:value-of select="substring(//CONTENT,11, 7)" />/start</xsl:attribute>
        <CONTENT>{}</CONTENT>
    </REQUEST>

容器可以正常创建、运行后自动退出，但/mnt目录下的数据没有发生任何变化。我尝试将bind配置替换为mount配置，得到的结果完全相同。

已尝试排查方案 #

我猜测该问题的可能原因是citygml-tools容器对/mnt目录没有写入权限，我尝试添加privileged标签解决该问题但没有生效，同时bind配置中添加的[[r]shared, [rw]]参数本应开放写入权限，也没有起到作用。
更棘手的是citygml-tools容器没有输出任何错误信息或日志文件，我无法定位具体的报错原因，目前只能反复试错排查。

咨询问题 #

从容器访问主机数据、以及容器向主机文件系统写入数据的最佳实践是什么？

相关工具说明 #

citygml-tools是一个命令行工具，整合了一系列CityGML格式相关的处理能力，使用Apache 2.0许可证开源。

核心问题根因 #

你当前的问题本质是DinD场景下的挂载路径与权限不匹配：你在create容器时传的/mnt:/data挂载规则，是DinD服务（你启动的dind容器）的文件系统路径，挂载链路本身没有问题，权限配置错误才是写入失败的核心原因。

注意：你启动dind容器的命令存在拼写错误，--prvileged应为--privileged，如果实际运行时也带了该错误，会导致特权模式未生效，也可能引发挂载权限异常。

具体排查步骤 #

1. 验证挂载有效性：先修改启动的子容器命令为["ls", "-la", "/data"]，同时配置AttachStdout: true、AttachStderr: true，查看容器日志，确认是否能正确枚举到/mnt下的目标文件，确认挂载链路是通的。
2. 修复权限问题：citygml-tools容器默认使用非root用户运行，你挂载到容器内的/data目录所属UID/GID和容器内运行用户不匹配，自然没有写入权限。你有两种修复方案：
   • 方案一：在HostConfig中添加"User": "root"参数，强制容器用root用户运行，绕开权限校验
   • 方案二：提前在dind容器内执行chmod 777 /mnt，或者将目录所属UID改为容器内运行用户的UID，可通过docker run --rm --entrypoint "" citygml4j/citygml-tools id查询容器默认用户UID
3. 验证工具参数：citygml-tools的to-cityjson命令默认会将输出文件写入输入文件所在目录，你可以先手动在dind容器内执行docker run --rm -v /mnt:/data citygml4j/citygml-tools to-cityjson /data/测试文件.gml验证转换逻辑是否正常，确认工具本身没有参数问题。

容器读写宿主机数据的最佳实践 #

• 优先使用命名卷而非bind挂载：命名卷由Docker统一管理，不会受宿主机文件系统权限、路径变化的影响，跨环境迁移更稳定
• 权限管控要精准：不要随便用privileged权限，优先通过匹配UID/GID的方式开放写入权限，非必要不用777权限
• 挂载传播配置按需使用：只有需要将容器内的挂载事件同步到宿主机或其他容器时才需要用shared等传播参数，普通读写场景不需要额外配置，默认的rw权限足够
• 日志兜底：所有业务容器都要配置stdout/stderr输出日志，启动容器时开启标准输出、标准错误挂载，方便异常时排查日志

内容的提问来源于stack exchange，提问作者BenjaminK