生产环境禁用 Bind Mount 挂载源码，应仅挂载必要目录（如配置、证书、日志），确保宿主机路径预先创建、权限匹配、使用绝对路径，并优先设为只读（:ro），避免硬编码路径以保障可移植性。
生产环境用 Docker Bind Mount，核心原则是：只挂载必要目录、避免权限混乱、不挂载应用代码本身（除非调试）、确保宿主机路径稳定可维护。
明确挂载目的再决定是否用 Bind Mount
Bind Mount 适合把宿主机上已存在、需被容器读写的固定路径映射进去，比如配置文件、证书、日志归档目录、上传的静态资源等。它不适合替代镜像内建逻辑或做开发热重载——那是 volume 或 dev tool 的事。
- ✅ 推荐场景：Nginx 挂载
/etc/nginx/conf.d/和 SSL 证书目录；数据库挂载外部数据目录（如 PostgreSQL 的/var/lib/postgresql/data）；应用读取宿主机上的 license 文件或区域配置 - ❌ 避免场景：把整个项目源码 bind mount 进去运行（易因用户 UID/GID 不一致导致权限拒绝）；挂载
/tmp或/proc等系统路径；挂载未提前创建、权限未预设的空目录
宿主机路径必须预先创建并设好权限
容器启动时不会自动创建宿主机目录，也不会帮你修复权限。若挂载点不存在或属主/属组/模式不匹配，容器内进程大概率无法读写。
- 创建目录前先确定容器内进程的 UID/GID（例如用
docker run --rm <image> id查看默认用户），再在宿主机用mkdir -p /host/path && chown 1001:1001 /host/path && chmod 755 /host/path预置 - 对敏感目录（如证书、密钥），建议
chmod 600并限制属组访问；对日志目录，确保容器用户有写权限，同时宿主机轮转工具能正常接管 - 路径尽量使用绝对路径，避免相对路径或符号链接（Docker 不解析宿主机 symlink 目标）
用只读挂载降低风险
绝大多数配置类、证书类挂载无需写入。显式声明 :ro 能防止容器意外修改关键文件，也便于审计和故障排查。
- 示例：
-v /opt/app/config.yaml:/app/config.yaml:ro、-v /etc/ssl/certs:/etc/ssl/certs:ro - 若需写入（如上传目录），单独挂一个路径并限制子目录权限，例如挂载
/data/uploads，并在应用层控制文件类型与大小，而非依赖挂载机制做安全过滤
避免在编排中硬编码绝对路径
Docker Compose 或 Kubernetes 中直接写死 /home/user/app/logs 会严重降低可移植性。应通过环境变量或部署约定解耦。
- Compose 中可用
environment+ 启动脚本动态生成挂载路径，或用.env文件统一定义HOST_LOG_DIR=/var/log/myapp，再在 volumes 中引用${HOST_LOG_DIR}:/app/logs - Kubernetes 建议用
hostPath配合nodeSelector和容忍度，确保 Pod 只调度到预置好目录结构的节点；更稳妥的做法是用 NFS 或云存储卷替代 hostPath - 上线前务必验证：该路径在所有目标节点上真实存在、权限一致、磁盘空间充足
