运行nginx的docker命令中挂载参数末尾:ro的作用是什么

-v 挂载参数末尾的 :ro 是 read-only（只读） 的缩写，作用是将该挂载路径在容器内设置为只读权限，具体效果如下：

• 容器内部进程仅可读取该挂载目录下的文件/目录内容，所有修改类操作（包括新增/删除文件、修改文件内容、调整目录/文件权限属性等）都会被系统拒绝
• 可以避免容器内的进程（包括被入侵后获得容器控制权的恶意程序）篡改宿主机对应目录的内容，大幅提升挂载数据的安全性
• 适合挂载不需要容器修改的静态资源（比如本次场景中的nginx静态站点文件）、多容器共享的公共配置等场景

如果不添加该后缀，Docker 挂载目录默认使用 :rw（read-write，读写）权限，容器内进程可以对宿主机对应目录内容做任意修改。

内容的提问来源于stack exchange，提问作者Adhyatmik