Docker挂载时清除组与其他用户权限的原因排查

1. 共享网络存储的临时状态异常 #

你挂载的是网络驱动器（如NFS/SMB这类），这类存储本身自带权限控制逻辑，可能和容器内的umask产生异常交互：

• 存储端可能临时出现权限模板失效、挂载参数波动（比如宿主机挂载时的umask/fmask参数被意外调整），导致容器创建文件时，存储端强制覆盖了权限设置。
• 问题持续到容器重启，是因为重启会触发重新挂载网络驱动器，恢复正常的权限上下文。
• 排查建议：
  • 问题出现时，在宿主机上用mount命令查看/mnt/Data的挂载参数，对比正常状态的参数差异。
  • 检查网络存储服务器的日志，确认是否有临时的权限服务异常。

2. Python进程的umask被动态修改 #

你exec进容器看到的umask是新shell进程的默认值，但出现问题的是正在运行的Python应用进程：

• 代码中可能存在某个分支（比如第三方库、自定义逻辑）调用os.umask(0o077)修改了权限掩码，之后未还原，导致后续创建的文件夹权限变为drwx------。
• 这种情况是偶发的，只有触发了修改umask的代码路径才会出现，重启容器后进程重置，umask恢复默认的0022。
• 排查建议：
  • 在Python代码中添加日志，记录调用os.makedirs()前后的umask值（可用os.umask(os.umask(0))获取当前umask并立即还原）。
  • 用Python的trace模块跟踪os.umask的所有调用，定位是否有第三方库或业务代码修改了掩码。

3. Docker挂载的namespace临时冲突 #

Docker容器的mount namespace可能因宿主机文件系统缓存、Docker daemon临时bug出现异常：

• 宿主机上的/mnt/Data目录临时出现权限属性变化（如ACL失效、chattr属性被修改），容器内继承了这个异常状态，导致创建文件时权限计算错误。
• 重启容器会重新初始化mount namespace，脱离异常的挂载上下文，恢复正常。
• 排查建议：
  • 问题出现时，在宿主机上用ls -ld和getfacl命令检查/mnt/Data/parent目录的权限和ACL，对比正常状态。
  • 查看Docker daemon日志（journalctl -u docker.service），确认是否有相关的挂载错误或警告。

4. os.makedirs()的mode参数被意外覆盖 #

os.makedirs()默认mode为0o777，会被umask修正为0o755，但如果代码中存在动态设置mode的逻辑：

• 某些分支下，mode参数被设置成了0o700（比如从配置文件、环境变量读取到错误值），导致创建的文件夹直接应用这个权限，不受umask影响。
• 排查建议：
  • 全局搜索代码中os.makedirs的调用，检查是否有指定mode参数，尤其是动态生成的mode值。
  • 检查应用的配置文件或环境变量，确认是否有权限相关的配置项被误设置。

内容的提问来源于stack exchange，提问作者Heath Raftery