绑定挂载是将宿主机目录或文件映射到容器路径，适用于开发调试；-v自动创建不存在的主机目录，--mount则报错；支持:ro只读及SELinux标签；挂载会覆盖容器内原路径内容；必须用绝对路径，生产环境推荐named volume。

绑定挂载（Bind Mount）是把宿主机上某个目录或文件，直接映射到容器内的指定路径。它适合开发调试场景，比如让代码修改实时生效，但不推荐用于生产环境。

基本用法：两种命令写法

最常用的是 -v 参数，简洁直接；--mount 更明确、可读性更强，尤其适合复杂配置。

• -v 写法：格式为 -v 主机路径:容器路径[:选项]。例如：
  docker run -d -v /home/user/app:/app nginx
  如果主机目录不存在，-v 会自动创建它。
• --mount 写法：字段分离，更清晰。例如：
  docker run -d --mount type=bind,source=/home/user/app,target=/app nginx
  注意：如果 source 目录不存在，--mount 会报错，不会自动创建。

挂载时的权限与只读控制

默认挂载是读写模式，但可通过选项限制容器对宿主机文件的写入，提升安全性。

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

• 加 :ro 表示只读，容器内无法修改文件：
  docker run -v /etc/hosts:/etc/hosts:ro nginx
• 多个选项用逗号分隔，如 :ro,z（SELinux 环境下需加 z 标签）
• 只读挂载后，容器内尝试写入会报 Permission denied

挂载到非空目录的注意事项

如果目标路径在容器内原本就有内容（比如 /usr/share/nginx/html），绑定挂载会完全覆盖它——原有文件不可见，取而代之的是宿主机对应目录的内容。

• 这是正常行为，不是 bug，常用于快速替换静态资源或测试新版本
• 但要小心误操作，比如把 / 或 /usr 这类关键路径挂载上去，可能导致容器启动失败
• 可用 docker inspect 容器名 查看 Mounts 段确认挂载是否生效及路径是否正确

常见问题与避坑提示

绑定挂载看似简单，但几个细节容易出错：

• 路径必须用绝对路径（/opt/data ✅，./data ❌），相对路径在 --mount 中不被支持
• Windows/macOS 用户注意路径格式差异（如 Windows 使用 C:\data，Docker Desktop 会自动转换）
• 不要依赖绑定挂载做数据持久化——它和宿主机强耦合，迁移镜像时路径可能失效
• 开发用它，生产优先选 named volume，更安全、可移植、易管理