Docker 挂载卷后文件权限全是 root 宿主机无法读写怎么办？

Question

仓乃文 · Accepted Answer

容器默认以 root 用户运行，通过 -v 挂载宿主机目录后，容器内创建的文件在宿主机上属于 root，普通用户无法读写。这是 Docker 初学者在开发环境最常遇到的权限问题。

问题复现：
```bash
# 宿主机上以普通用户运行
docker run -v /home/user/data:/data nginx touch /data/test.txt

# 宿主机查看
ls -l /home/user/data/
# -rw-r--r-- 1 root root test.txt
# 普通用户无法修改或删除！
```

修复方案：
```bash
# 方案 1：运行时指定用户（最简单）
docker run -u $(id -u):$(id -g) \
  -v /home/user/data:/data nginx
# 容器内进程以宿主机用户身份运行
# 注意：容器内可能没有对应的用户名，但 UID 生效

# 方案 2：Dockerfile 中创建用户
# Dockerfile:
# FROM node:18-alpine
# RUN adduser -D -u 1000 appuser
# USER appuser
# 宿主机用户 UID 也为 1000 时权限匹配

# 方案 3：修改宿主机目录权限（不推荐，安全风险）
chmod 777 /home/user/data
# 任何用户都能读写，生产环境绝对不要这样做

# 方案 4：使用命名卷代替绑定挂载
docker volume create app-data
docker run -v app-data:/data nginx
# Docker 自动管理权限，但宿主机不方便直接访问
```

Docker Compose 配置：
```yaml
services:
  app:
    image: nginx
    user: "1000:1000"
    volumes:
      - ./data:/data
```

常见场景的权限处理：
```bash
# MySQL 容器
# MySQL 官方镜像支持 MYSQL_UID 环境变量
docker run -e MYSQL_UID=1000 mysql

# Nginx 容器（需要写日志和缓存）
docker run -u $(id -u):$(id -g) \
  -v /home/user/html:/usr/share/nginx/html:ro \
  -v /home/user/logs:/var/log/nginx \
  nginx

# Node.js 应用
docker run -u node -v /home/user/app:/home/node/app node:18
# node 用户 UID 通常为 1000
```

补充说明：
- 容器内 /etc/passwd 可能没有宿主机用户名，但 UID 匹配即可
- 方案 1 适合开发环境快速解决，方案 2 适合生产环境
- 某些官方镜像（如 nginx、mysql）有特定的权限处理方式，查看镜像文档
- 规则：生产环境不用 root 运行容器，挂载卷时指定正确的 UID/GID
- getent passwd 1000 可查看宿主机 UID=1000 对应的用户名