核心是让rootless容器安全使用FUSE，需fuse-overlayfs≥1.9.0、配置storage_driver="fuse-overlayfs"，并确保容器内挂载/dev/fuse、授权SYS_ADMIN、安装fuse3库及设置allow_other权限。
核心在于让 rootless 容器能安全、可靠地使用 FUSE，而不是强行提权。关键不是“绕过限制”，而是适配 rootless 的运行机制。
确认 fuse-overlayfs 已就位
非特权 Docker（rootless）默认依赖 fuse-overlayfs 作为存储驱动，不是内核 overlayfs。若缺失或版本过低，容器根本无法启动：
- 检查是否已安装：运行
fuse-overlayfs --version，生产环境建议 ≥ 1.9.0（2026 年主流发行版已预装） - CentOS/RHEL 7.9 等旧系统需手动安装：用
dnf install fuse-overlayfs或从官方 Copr 仓库获取 - 验证配置：查看
~/.config/containers/containers.conf中是否启用storage_driver = "fuse-overlayfs"
容器内启用 FUSE 需三要素齐备
即使宿主机支持，容器内仍需显式授权才能调用 FUSE 接口：
- --device /dev/fuse：必须挂载设备节点（rootless 模式下该设备由用户命名空间自动映射）
- --cap-add SYS_ADMIN：FUSE 挂载需此能力（rootless 下该 cap 受限但可安全授予）
-
容器内安装 fuse3 和 libfuse3-dev：基础镜像需含运行时库，例如 Ubuntu 22.04+ 的
apt install -y fuse3
避免权限与路径冲突的实操要点
常见失败并非因功能不可用，而是挂载上下文不匹配：
- 挂载点目录（如
/mnt/myfs）必须由容器内运行用户（非 root）有写权限；建议启动时用--user $(id -u):$(id -g)对齐宿主 UID/GID - FUSE 应用（如 s3fs、passthrough）启动命令中务必加
-o allow_other，否则仅当前用户可访问 - 若用
docker run手动运行，需确保宿主机/etc/fuse.conf含user_allow_other—— rootless 用户可安全修改自己家目录下的~/.fuse.conf替代
生产级替代思路：优先用 fuse-overlayfs，慎用自定义 FUSE
除非业务强依赖特定用户态文件系统（如加密挂载、对象存储透传），否则应尽量复用 fuse-overlayfs 提供的能力：
- 它专为 rootless 设计，无须额外 cap，不暴露 /dev/fuse 给应用层
- 构建镜像时用
RUN mkdir -p /var/lib/containers/storage配合 fuse-overlayfs 自动管理层，更稳定 - 自定义 FUSE（如 s3fs-fuse、sshfs）建议封装为独立服务容器，通过 volume 共享数据，而非在业务容器内直接挂载
