PHP 容器内使用 Guzzle 或 cURL 访问 /var/run/docker.sock 失败（cURL 错误 7），通常因 PHP-FPM 工作进程以非 root 用户（如 www-data）运行且无权访问 Unix 套接字所致；根本解法是安全地提升 PHP-FPM 进程用户权限并启用 root 运行支持。
php 容器内使用 guzzle 或 curl 访问 `/var/run/docker.sock` 失败（curl 错误 7），通常因 php-fpm 工作进程以非 root 用户（如 `www-data`）运行且无权访问 unix 套接字所致；根本解法是安全地提升 php-fpm 进程用户权限并启用 root 运行支持。
在 Docker 环境中，PHP 应用常需与宿主机 Docker Daemon 通信（例如动态管理容器、获取运行状态等），典型做法是将宿主机的 /var/run/docker.sock 挂载进 PHP 容器，并通过 Unix socket 方式调用 Docker API：
use GuzzleHttp\Client;
$client = new Client();
$response = $client->request('GET', 'http://v1.40/containers/json', [
'curl' => [
CURLOPT_UNIX_SOCKET_PATH => '/var/run/docker.sock'
]
]);
echo $response->getBody()->getContents();然而，上述代码在官方 php:alpine 或 php:apache 镜像中常抛出 cURL error 7: Failed to connect to v1.40 port 80: Connection refused（或类似底层连接失败提示），即使手动执行 curl --unix-socket /var/run/docker.sock http://localhost/v1.40/containers/json 在容器 Shell 中完全正常。
? 根本原因并非 Guzzle 或 cURL 配置错误，而是 PHP-FPM 工作进程的用户权限限制：
官方 PHP Docker 镜像默认使用 www-data 用户启动 FPM 子进程（由 www.conf 配置控制），而该用户默认不属于 docker 用户组，且对 /var/run/docker.sock（属主 root:docker，权限通常为 srw-rw----）仅有读写权限（若未显式授权）。更重要的是，FPM 进程本身无权以 www-data 身份发起 Unix socket 连接请求——这是 Linux capability 与 socket 访问控制共同作用的结果。
✅ 正确解决方案分两步（兼顾功能与最小权限原则）：
-
修改 PHP-FPM 用户配置
编辑 /usr/local/etc/php-fpm.d/www.conf（Docker 内路径），将 user 和 group 显式设为 root：; /usr/local/etc/php-fpm.d/www.conf user = root group = root
-
启用 FPM 以 root 身份运行
启动容器时必须添加 -R（--allow-to-run-as-root）标志，否则 PHP-FPM 主进程会主动拒绝启动：docker run -d \ --name php-app \ -v /var/run/docker.sock:/var/run/docker.sock:ro \ -v ./php-ini-overrides.ini:/usr/local/etc/php/conf.d/zz-custom.ini \ php:8.3-apache \ php-fpm -R # ← 关键：允许 root 运行
⚠️ 注意事项：
立即学习“PHP免费学习笔记（深入）”；
- 安全性权衡：以 root 运行 PHP-FPM 存在潜在风险。生产环境建议结合 --cap-drop=ALL + 显式 --cap-add=NET_ADMIN（非必需）及最小化挂载（仅 ro 挂载 sock），或改用专用代理服务（如 docker-proxy 容器）隔离权限。
- 替代方案（推荐进阶场景）：创建专用 docker 用户组并将其加入容器，再将 www-data 加入该组，同时确保 socket 权限为 srw-rw---- 且属组可写（需宿主机配合 chgrp docker /var/run/docker.sock && chmod 660 /var/run/docker.sock）。但此法在多租户容器中仍不如 root + -R 稳定。
- 验证方式：进入容器执行 ps aux | grep php-fpm 确认主进程与 worker 均显示 root 用户；再用 ls -l /var/run/docker.sock 确认挂载有效。
总结：PHP 容器内访问 Docker Socket 的核心障碍是 用户上下文隔离，而非网络或协议问题。通过精准调整 PHP-FPM 用户配置并启用 -R 启动标志，即可在可控范围内打通本地 Docker API 调用链，为容器编排、CI/CD 集成等场景提供可靠支撑。
