Docker下C++ Python封装.so：仅COPY入镜像可用、卷挂载加载失败

failed to map segment from shared object报错和.so文件内容、文件权限位、容器用户权限映射完全无关，核心原因是宿主机上被绑定挂载到容器/kpconv的代码目录，所在的文件系统分区启用了noexec内核挂载参数。

• 内核强制规则：只要分区挂载了noexec选项，无论该路径下的文件权限是多少、是否为合法的可执行二进制/共享对象，内核都会直接拦截内存映射请求，拒绝将文件内容加载到进程内存中，抛出上述报错。
• 两个测试场景的差异本质：
  • 测试场景一中/kpconv属于Docker镜像内置的overlay2存储层，是容器自带的根文件系统，默认无noexec限制，因此相同的.so文件可以正常加载。
  • 测试场景二中/kpconv是从宿主机绑定挂载的目录，对应宿主机分区带noexec参数，哪怕.so文件哈希、权限位和场景一完全一致，内核也会阻止加载。
• 已完成的验证可以完全排除其他可能性：两个场景下的.so哈希值完全相同、权限位均为可执行、切换容器内root用户运行也报错，证明问题既不在文件本身，也不在用户权限映射逻辑上。

1. 定位代码目录对应的宿主机分区，替换成本地实际的KPConv代码路径执行：

   df -P /你的KPConv宿主机路径 | tail -n1 | awk '{print $1}'
   

   拿到分区对应的设备名，例如/dev/sda2
2. 检查分区挂载参数：

   mount | grep 刚才拿到的设备名
   

   若输出的挂载选项中包含noexec，即可确认是该原因导致的问题。
   常见默认带noexec的分区：Linux发行版独立划分的/home用户目录分区、临时文件分区、独立挂载的大容量数据存储分区。

按便捷度从高到低排序：

• 迁移代码目录：将KPConv代码目录移动到宿主机无noexec限制的分区下，再执行绑定挂载即可。
• 调整分区挂载参数：修改宿主机对应分区的fstab配置，移除挂载选项中的noexec字段，重新挂载分区后即可生效。操作时注意不要在系统运行时直接修改系统关键分区的挂载参数，避免影响其他服务。
• 绕开挂载限制：容器启动时仅挂载需要读写的数据集、输出目录，将代码目录在容器启动阶段自动同步到容器内部非挂载的可执行路径下，编译运行时完全在容器内置的可执行分区操作，从根源避开noexec限制。如果需要快速迭代代码，可以搭配本地文件监听工具自动同步代码修改到容器内部路径。

内容的提问来源于stack exchange，提问作者KDecker