核心是让容器内进程UID/GID与宿主机文件所有者一致，不匹配则触发Permission Denied；需通过id和ls -ld确认双方标识，再用--user或Dockerfile预设用户对齐权限。
核心是让容器内进程的 UID/GID 与宿主机文件所有者一致。不匹配时，哪怕用户名相同，系统也视为不同用户，直接导致 Permission Denied。
确认当前 UID/GID 是否一致
先查清楚两边的身份标识：
- 宿主机上运行
id -u和id -g，记下数字（比如 1000:1000） - 进容器执行
docker exec -it 容器名 id，看输出的 uid/gid 是多少 - 再用
ls -ld /挂载路径查宿主机目录属主，确认是否匹配该 UID
运行时指定用户（最常用、最推荐）
无需改镜像，启动容器时就对齐身份：
- 直接传宿主机当前用户：
docker run -v /host:/container -u $(id -u):$(id -g) 镜像名 - 若需固定 UID（如部署脚本中），写死数值：
--user 1000:1000 - 注意：容器内必须存在对应 GID 的组（多数基础镜像已预建 group 1000，否则需额外处理）
构建镜像时预设匹配用户
适合多环境复用或 CI/CD 场景，Dockerfile 中明确创建目标 UID 用户：
- 用构建参数传入：
ARG PUID=1000 && ARG PGID=1000 - 创建组和用户：
RUN groupadd -g $PGID appgroup && useradd -u $PUID -g appgroup appuser - 切换并设为默认：
USER appuser - 构建时指定：
docker build --build-arg PUID=$(id -u) --build-arg PGID=$(id -g) -t myapp .
应对 SELinux 或 NFS 等特殊场景
普通权限对齐后仍失败？可能是安全策略或远程挂载干扰：
- SELinux 启用时，加
:z或:Z标签：-v /host:/container:z（共享上下文） - NFS 挂载点需确保服务端 UID/GID 与容器一致，否则仅靠本地
--user无效 - 临时验证可关 SELinux：
setenforce 0（仅测试，勿用于生产）
