Docker镜像构建时需用VOLUME声明挂载点、RUN创建目录并chown/chmod赋权、USER切换运行用户三步协同，否则容器启动后可能因权限不足无法写入挂载目录。
在 Docker 镜像构建阶段预留数据卷挂载点，核心是用 VOLUME 指令声明路径，并配合 RUN 创建目录 + chown/chmod 提前赋权，最后通过 USER 切换运行身份。这三步缺一不可，否则容器启动后可能因权限不足无法写入挂载目录。
用 VOLUME 显式声明挂载路径
VOLUME 不是创建目录，而是向使用者和 Docker 引擎“预告”该路径预期被外部挂载。它会阻止后续 RUN 或 COPY 覆盖该路径内容，并自动为未显式挂载的路径创建匿名卷。
- 推荐写在 Dockerfile 底部，例如：
VOLUME ["/data", "/config", "/logs"] - 同一路径不要多次声明 VOLUME，避免行为异常
- VOLUME 不改变目录初始属主或权限，必须额外处理
构建时创建目录并设置属主权限
如果容器以非 root 用户运行（强烈建议），必须在镜像构建阶段就创建这些挂载点目录，并把属主设为对应 UID/GID，否则容器启动时会因无权写入而失败。
- 先创建用户组和用户：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001 - 再创建目录并授权：
RUN mkdir -p /data /config /logs && chown -R appuser:appgroup /data /config /logs && chmod -R 755 /data /config /logs - 验证方式：构建后执行
docker run --rm your-image ls -ld /data，确认属主是 appuser，权限可写
切换运行用户并避免启动时修复权限
在 RUN 完成目录创建与赋权后，立即用 USER 指令切换身份。这样容器启动时直接以目标用户运行，无需在 entrypoint 中用 root 临时提权改权限——这种做法既不安全，也违背最小权限原则。
- 添加：
USER appuser:appgroup - 确保所有后续指令（如 CMD）都在该用户上下文中执行
- entrypoint 脚本中不要再出现
chown或chmod操作
运行时挂载需注意宿主机权限匹配
容器内进程以 UID 1001 运行时，若宿主机上没有同名用户，挂载目录在宿主机上会显示为数字 ID，但这不影响容器内读写——前提是该目录在宿主机上对 UID 1001 是可写的。
- 开发环境建议提前在宿主机上创建挂载目录，并
chown 1001:1001 /host/data - 生产环境若启用了 user namespace remapping，需确保映射关系与镜像内 UID 对齐
- 绑定挂载（-v /host/path:/container/path）时，宿主机路径权限决定容器内访问能力
