Volume与Bind Mount权限收紧需从挂载方式、宿主机路径、容器运行上下文、数据流向四层面协同设防，目标是数据可读不可篡改、可共享不可越权、可备份不可裸露。
直接收紧 volume 与 bind mount 的权限，不是加一两个 :ro 就算完成，而是要从挂载方式、宿主机路径控制、容器运行上下文、数据流向四个层面协同设防。核心目标是：让数据可读不可篡改、可共享不可越权、可备份不可裸露。
Volume 权限收紧：用命名卷 + 显式只读 + 宿主机隔离
命名卷（docker volume create）本身不带权限控制，必须配合挂载时的选项和宿主机底层操作来加固：
- 挂载时强制指定
:ro，例如-v app-data:/app/data:ro，禁止容器内任何写入；即使容器被逃逸，也无法修改卷内文件 - 避免使用匿名卷（
-v /app/data），因其名称随机、归属不可控，且无法通过docker volume inspect审计路径 - 若需写入，仅对明确子目录开放读写，如用
bind mount单独挂载/data/uploads，而主卷保持只读 - 在宿主机上对卷底层目录（如
/var/lib/docker/volumes/app-data/_data）执行chown root:root和chmod 750，限制非 root 用户访问
Bind Mount 权限收紧：路径预检 + 挂载约束 + 运行用户降权
Bind Mount 因直连宿主机路径，风险更高，必须前置校验和运行时限制：
- 挂载前确认宿主机目录存在且权限最小化，例如
/etc/passwd只读挂载必须用-v /etc/passwd:/etc/passwd:ro，不能省略:ro - 禁用递归挂载或通配路径（如
-v /home:/home），改用精确路径（如-v /home/app/config:/app/config:ro） - 容器启动时用
--user指定非 root 用户（如--user 1001:1001），配合宿主机目录chown 1001:1001 /host/data，实现 UID 级别隔离 - 对敏感目录（如
/proc、/sys）绝不挂载，防止容器窥探宿主机状态
跨容器共享场景：用数据卷容器做权限中转，不直传
当多个容器需共用配置或只读资源时，避免每个都挂载同一宿主机路径，改用中间数据卷容器统一管控：
- 创建专用数据容器：
docker run -d --name data-share --read-only -v /etc/hosts:/etc/hosts:ro -v /data/static:/static:ro alpine sleep infinity - 业务容器通过
--volumes-from data-share继承挂载，所有只读策略由数据容器定义，业务容器无权修改挂载参数 - 该方式下，即使业务容器被攻破，也无法绕过数据容器设定的
:ro规则，也不能新增或覆盖挂载点
备份与恢复链路：权限继承 + 非交互式验证
备份脚本若以 root 身份运行并解压到卷目录，可能覆盖原有权限。必须保障整个链路可控：
- 备份容器启动时挂载宿主机备份目录为只读（
-v $(pwd)/backup:/backup:ro），防止误删或覆盖 - 恢复操作使用非 root 用户执行
tar -xzf /backup/html.tar.gz -C /app/data --no-same-owner，跳过原始 owner 信息，避免提权 - 每次恢复后运行校验命令，例如
find /app/data -type f ! -perm -400 | wc -l，检查是否存在非只读文件
