在Docker容器-v挂载目录内创建符号链接无法访问的原因排查

异常复现场景：通过-v参数将宿主机目录绑定挂载到容器后，在容器内部交互Shell执行ln -s "/foo/bar/dir.pack" /path创建符号链接，执行ls查看时链接显示为红色归档类型，无法通过cd进入对应路径；相同配置下在宿主机创建的同规则符号链接可正常使用。

常见触发原因：

• 路径解析的上下文错位
  符号链接本质是存储路径文本的特殊文件，访问时会基于当前运行环境的根路径解析目标位置。如果创建软链时填写的目标路径是容器视角的绝对路径，而软链本身存储在宿主机绑定挂载的卷目录中，就会出现解析错位：
  容器视角下/foo/bar/dir.pack是存在的路径，可正常访问；但宿主机视角下，挂载目录里的软链存储的/foo/bar/dir.pack是宿主机根路径下的位置，通常不存在对应目标，就会形成悬空软链，被ls标记为红色高亮。这种错位在宿主机创建软链时不会出现，因为宿主机创建的软链填写的是宿主机视角的绝对路径，两边解析逻辑一致。
• 挂载命名空间隔离导致的目标不可达
  容器启动时如果对绑定挂载目录设置了私有传播属性，会让容器和宿主机的文件系统挂载命名空间完全隔离，这种情况下容器内创建的软链如果指向同卷下的子路径，会因为命名空间隔离出现目标路径识别错误，被系统误判为不可访问的归档类文件，触发终端高亮提示。尤其是使用自定义FUSE类文件系统作为挂载源时，这种类型误判的出现概率会明显升高。
• 权限映射不匹配导致的访问失败
  容器和宿主机之间的用户ID映射不匹配、或是安全规则不匹配时，即便软链本身创建成功，访问目标路径时的权限校验也会直接失败：
  容器内以root身份创建的软链，对应挂载目录在宿主机上的属主是普通用户时，系统会把无访问权限的悬空/无权限软链标记为红色，执行cd操作时因为权限校验失败无法进入路径。如果宿主机开启了SELinux强制访问控制，容器内创建的文件默认安全上下文不符合宿主机的访问规则，也会触发同样的访问失败表现。

内容的提问来源于stack exchange，提问作者Chris