Dockerfile中RUN执行setfacl不生效 容器内手动操作正常

问题根本原因 #

Docker 镜像构建过程中生成的镜像层默认不会保留文件的 ACL 扩展属性，主流存储驱动（如 overlay2）默认打包时会忽略 xattrs 中与 ACL 相关的配置，所以你在 RUN 阶段执行的 setfacl 命令即使当时执行成功，写入镜像层时相关配置也会丢失。而进入容器后手动执行 setfacl 是操作容器运行时的可写层，这一层的 ACL 属性会被本地存储保留，所以手动执行可以生效。

可行解决方案 #

• 方案1：将 setfacl 逻辑迁移到容器启动脚本（最推荐，兼容性最强）
  把 setfacl 相关命令放到 ENTRYPOINT 启动脚本中，容器每次启动时在运行时可写层执行 ACL 配置，配置不会丢失。
  示例配置：
  新建 entrypoint.sh 启动脚本：

  #!/bin/bash
  # 执行ACL配置
  setfacl -R -d -m g::rwx /var/www/html/storage/framework/views/ 
  setfacl -R -d -m o::rw  /var/www/html/storage/framework/views/ 
  # 执行原有启动命令
  exec "$@"
  

  调整 Dockerfile 配置：

  COPY script.sh .
  RUN chmod +x script.sh
  RUN sh script.sh
  # 新增启动脚本配置
  COPY entrypoint.sh /
  RUN chmod +x /entrypoint.sh
  ENTRYPOINT ["/entrypoint.sh"]
  # 替换为你原有镜像的启动命令，比如php-fpm、nginx等
  CMD ["php-fpm"]
  

• 方案2：调整Docker配置保留镜像ACL属性（不推荐生产使用，兼容性差）
  如需在镜像构建阶段保留ACL，需要修改Docker daemon配置 /etc/docker/daemon.json，开启存储驱动的扩展属性支持：

  {
    "storage-opts": ["overlay2.mountopt=user_xattr"]
  }
  

  配置完成后重启Docker服务再重新构建镜像即可。该方案依赖宿主机Docker的配置，跨环境运行时很容易失效，不建议生产环境使用。

• 方案3：替换ACL为兼容的权限继承方案
  如果只是需要目录下新建文件自动继承指定权限，可不用ACL，使用setgid配合进程umask实现相同效果：

  # 给目录设置setgid位，新建文件自动继承目录所属组
  chmod g+s /var/www/html/storage/framework/views/
  # 启动业务进程时设置umask为0002，新建文件权限即为664，目录为775，匹配你需要的组读写权限
  umask 0002 && php-fpm
  

内容的提问来源于stack exchange，提问作者Eng Mhmd Mhmoud