起点是UID不匹配，Linux只认数字ID；需先用id -u/-g查容器用户、ls -ld查宿主机目录属主，再通过chown对齐、userns-remap映射计算或命名卷自动管理解决。
确认容器运行用户和宿主机目录属主
权限冲突的起点是 UID 不匹配。Linux 只认数字，不认用户名。先查清楚两头是谁在“干活”：
- 进容器看实际 UID/GID：
docker exec -it 容器名 id -u && id -g - 查宿主机挂载路径属主：
ls -ld /path/on/host，重点关注第一列数字（如1001 1001） - 没显式指定
USER指令时，容器默认用 root（UID 0），此时要额外排查 SELinux/AppArmor 或挂载选项（如noexec）是否拦截
让宿主机目录属主匹配容器 UID（开发/测试首选）
这是最直接、可控的方式。假设容器以 UID 1001 运行，就让宿主机目录也归它管：
- 执行：
sudo chown -R 1001:1001 /path/on/host - 若需多容器共享，可建专用组（如
dockerdata），把对应 UID 加入组，并用chgrp + chmod g+rw开放组写权限 - 注意：只改你明确挂载的数据路径，别碰
/var/lib/docker等系统目录
启用 user-namespace 后的映射对齐
如果宿主机已开启 userns-remap（检查 /etc/docker/daemon.json），容器 UID 就不是直通宿主机了，而是被偏移映射：
- 查映射范围：
cat /etc/subuid，常见如dockremap:100000:65536→ 宿主机可用 UID 是 100000–165535 - 此时
--user 1000:1000表示容器内 UID 1000，实际对应宿主机 UID100000 + 1000 = 101000 - 所以宿主机目录属主必须落在 100000–165535 范围内；否则得换方案，比如命名卷
用命名卷自动规避权限纠缠
命名卷由 Docker 全权管理，底层存储路径（如 /var/lib/docker/volumes/xxx/_data）的属主会自动适配当前 userns-remap 设置：
- 创建时预设视角 UID：
docker volume create --driver local --opt o=uid=1000,gid=1000 myvol - 挂载时不用
--user，Docker 会按当前 userns-remap 设置自动映射到底层属主 - 彻底避开手动
chown和路径权限风险，也更安全
