Laravel 11部署AWS EKS遇storage/logs权限拒绝问题求助

问题重现 #

Pod启动时持续报错：

The stream or file "/var/www/storage/logs/laravel.log" could not be opened in append mode: Failed to open stream: Permission denied
The exception occurred while attempting to log: The stream or file "/var/www/storage/logs/laravel.log" could not be opened in append mode: Failed to open stream: Permission denied

手动执行chmod -R 755 /var/www/storage可临时修复，但每次部署都会复发。Dockerfile和GitHub Actions已配置权限但无效。

核心原因分析 #

1. 卷挂载覆盖镜像权限：如果Deployment中把/var/www/storage挂载到PVC/emptyDir等Kubernetes卷，挂载时会用宿主机的权限规则覆盖镜像内预设置的权限，导致Dockerfile中的chown/chmod完全失效。
2. 运行用户与文件所有者不匹配：Laravel应用通常依赖www-data用户/组读写storage，但如果容器以root或其他非www-data用户运行，即使目录权限设置正确，也会因身份不符被拒绝。
3. GitHub Actions权限设置无效：Actions中修改本地代码的权限仅影响构建时COPY到镜像的文件，但如果后续有卷挂载覆盖，或镜像运行时用户不匹配，这些设置不会生效。

永久解决方案 #

方案1：用InitContainer预配置卷权限 #

在Deployment中添加InitContainer，在主容器启动前先挂载目标卷并修正权限，确保主容器启动时目录权限正确：

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      initContainers:
        - name: fix-storage-perms
          image: your-laravel-image:latest  # 使用和主容器相同的镜像
          command: ["sh", "-c", "chown -R www-data:www-data /var/www/storage && chmod -R ug+rwx /var/www/storage"]
          volumeMounts:
            - name: storage-volume
              mountPath: /var/www/storage
      containers:
        - name: laravel-app
          image: your-laravel-image:latest
          volumeMounts:
            - name: storage-volume
              mountPath: /var/www/storage
      volumes:
        - name: storage-volume
          persistentVolumeClaim:
            claimName: laravel-storage-pvc  # 替换为你的PVC名称

方案2：Dockerfile指定运行用户+Deployment配置fsGroup #

1. 修改Dockerfile，确保目录权限对www-data开放，并指定容器以该用户运行：

# 为storage和bootstrap/cache设置权限
RUN chown -R www-data:www-data /var/www/storage /var/www/bootstrap/cache
RUN chmod -R ug+rwx /var/www/storage /var/www/bootstrap/cache

# 指定容器运行用户（www-data的UID通常为33，可通过`id www-data`在镜像中确认）
USER www-data

2. 在Deployment的securityContext中配置fsGroup，让Kubernetes自动调整挂载卷的组权限，匹配运行用户：

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      securityContext:
        runAsUser: 33  # 对应www-data的UID
        runAsGroup: 33 # 对应www-data的GID
        fsGroup: 33    # 自动将挂载卷的文件组设置为33，确保运行用户有读写权限
      containers:
        - name: laravel-app
          image: your-laravel-image:latest
          # ... 其他容器配置

方案3：避免不必要的卷挂载 #

如果不需要持久化storage目录（比如仅测试环境），直接删除Deployment中对/var/www/storage的卷挂载配置，镜像内预设置的权限会直接生效。

方案4：核对PHP-FPM运行用户（若使用PHP-FPM） #

如果容器使用PHP-FPM作为运行环境，检查php-fpm.conf或www.conf中的配置，确保user和group设置为www-data，与文件所有者一致：

user = www-data
group = www-data

验证方法 #

部署完成后，进入Pod执行以下命令确认权限：

# 查看当前运行用户
id
# 查看storage目录权限
ls -ld /var/www/storage
# 查看日志目录权限
ls -l /var/www/storage/logs

确认输出中用户/组为www-data，目录权限包含rwx（所有者和组）。

内容的提问来源于stack exchange，提问作者Chidi Nkwocha