一个容器需按功能分层隔离配置、日志和业务数据，分别挂载：配置用只读命名卷或绑定挂载，日志用可写绑定挂载便于对接宿主机工具，核心数据必须用命名卷保障生命周期独立，临时缓存可用tmpfs。
一个容器需要同时管理配置、日志和业务数据时，就得配置多个挂载点。这不是叠加操作，而是按功能分层隔离——既避免单点故障，也方便备份、权限控制和迁移。
用 -v 或 --mount 指定多个独立路径
启动容器时，每组挂载用一个 -v 参数或一个 --mount 选项，互不干扰：
-
命名卷方式（推荐生产环境）：
docker run -v app-conf:/etc/myapp -v app-logs:/var/log/myapp -v app-data:/var/lib/myapp nginx -
绑定挂载方式（适合开发/日志对接）：
docker run -v /host/conf:/etc/myapp:ro -v /host/logs:/var/log/myapp -v /host/data:/var/lib/myapp mysql -
--mount 更清晰的写法（Docker 17.06+）：
--mount type=volume,source=app-conf,target=/etc/myapp --mount type=bind,source=/host/logs,target=/var/log/myapp
在 docker-compose.yml 中结构化声明
多挂载点在 Compose 中更易读、可复用：
volumes:
app-conf:
driver: local
app-logs:
app-data:
<p>services:
web:
image: nginx
volumes:</p><ul><li>app-conf:/etc/nginx/conf.d</li><li>app-logs:/var/log/nginx</li><li>app-data:/usr/share/nginx/html
注意：每个 volume 名称需唯一；若用绑定挂载，改用 ./conf:/etc/nginx/conf.d:ro 这类相对路径写法。
按用途区分挂载类型与权限
不同挂载点应匹配其用途，不能一刀切：
-
配置目录：建议只读挂载（
:ro），防止运行时被误改 - 日志目录：绑定挂载更方便对接 host 上的 logrotate 或 fluentd
- 核心数据目录（如数据库）：必须用命名卷，保障生命周期独立、权限自动适配
- 临时缓存或上传区：可考虑 tmpfs（内存挂载），但仅限非关键数据
验证与权限对齐是关键落地环节
挂载成功不等于可用。启动后务必检查：
- 进入容器执行
ls -ld /etc/myapp /var/log/myapp，确认目录存在且属主匹配应用用户（如 UID 1001） - 宿主机上对应命名卷路径可通过
docker volume inspect app-data查到实际位置（如/var/lib/docker/volumes/app-data/_data） - 若用绑定挂载，提前运行
chown -R 1001:1001 /host/data，避免容器内进程因权限拒绝写入
