Google Container-Optimized OS无法正常运行可执行Shell脚本怎么办？

这个问题我之前帮不少开发者排查过，Container-Optimized OS（COOS）的安全设计确实和普通Linux发行版有差异，咱们一步步拆解解决：

1. 先排查最基础的可执行权限问题 #

首先确认你的test.sh有没有被赋予可执行权限，这是最容易忽略的点。运行以下命令查看权限：

ls -l test.sh

如果输出的权限列是-rw-r--r--（没有x标识），说明脚本缺少执行权限，先给它加上：

chmod +x test.sh

加完权限后再尝试./test.sh Johnny，如果还是报错，那就是COOS的文件系统挂载限制导致的。

2. 处理COOS的noexec挂载限制 #

COOS为了安全，默认会给大部分持久化存储目录（比如/home、自定义挂载磁盘）加上noexec挂载选项——这个选项会禁止直接执行该目录下的可执行文件，这就是为什么你用sh test.sh Johnny能跑（让shell进程读取解析脚本内容，而非直接执行脚本文件），但./test.sh会报错的核心原因。

这里提供三种解决思路：

方法一：临时重新挂载目录移除noexec #

先确认脚本所在目录的挂载信息：

mount | grep $(dirname $(realpath test.sh))

比如输出里会看到类似/dev/sda1 on /home type ext4 (rw,nosuid,nodev,noexec,...)的内容，明确带有noexec。

执行以下命令重新挂载目录，去掉noexec选项：

sudo mount -o remount,rw,exec /home

⚠️ 注意：这种方式是临时生效的，实例重启后会恢复默认配置，适合临时调试场景。

方法二：将脚本移到允许执行的目录 #

COOS里有些目录默认是允许执行的，比如/tmp（它是tmpfs挂载，默认带exec选项）。你可以把脚本移到这里试试：

mv test.sh /tmp/
cd /tmp
./test.sh Johnny

这个方法简单快捷，适合临时运行脚本的需求。

方法三：永久修改挂载选项（长期需求） #

如果需要脚本所在目录永久允许执行，得通过实例的启动脚本或配置修改挂载参数。比如你用持久化磁盘挂载到/mnt/disks/mydisk，可以在创建实例时指定挂载选项：

gcloud compute instances create YOUR_INSTANCE_NAME \
  --image-family cos-stable \
  --image-project cos-cloud \
  --boot-disk-size 10GB \
  --mount-disk name=YOUR_DISK_NAME,mode=rw,device-name=YOUR_DISK_NAME \
  --metadata startup-script='#!/bin/bash
mkfs.ext4 -F /dev/disk/by-id/google-YOUR_DISK_NAME
mkdir -p /mnt/disks/mydisk
mount -o rw,exec /dev/disk/by-id/google-YOUR_DISK_NAME /mnt/disks/mydisk
echo "/dev/disk/by-id/google-YOUR_DISK_NAME /mnt/disks/mydisk ext4 rw,exec 0 0" >> /etc/fstab'

这样每次实例启动都会用exec选项挂载磁盘，就能长期直接执行脚本了。

3. 额外提示：避开只读根文件系统 #

COOS的根文件系统默认是只读的，如果你把脚本放在根目录（比如/），即使加了可执行权限也可能无法运行，建议优先把脚本放在/home、/mnt或/tmp这类可写目录中。

内容的提问来源于stack exchange，提问作者Matt Williamson