本质是宿主机与容器用户身份不一致导致访问冲突，解决关键是让容器进程以宿主机可写目录的UID/GID运行：通过id -u/-g确认宿主机用户ID，docker-compose中用user字段映射，并在SELinux系统添加:z或chcon标记目录。
容器挂载目录权限不足，本质是宿主机与容器之间用户身份不一致导致的文件访问冲突。解决的关键不是强行提权，而是让容器内进程以宿主机上能写入该目录的用户身份运行。
确认当前用户 UID/GID
在宿主机终端执行：
- id -u 查看当前用户的 UID（通常为 1000）
- id -g 查看当前用户的 GID
- ls -ld ./your-mount-dir 确认挂载目录归属是否匹配该 UID/GID
在 docker-compose.yml 中指定 user
服务配置中添加 user 字段，直接复用宿主机用户身份：
services:
app:
image: your-laravel-app
user: "${LOCAL_UID:-1000}:${LOCAL_GID:-1000}"
volumes:
- ./src:/var/www/html:delegated
启动前在 shell 中导出变量：
- export LOCAL_UID=$(id -u)
- export LOCAL_GID=$(id -g)
- 再运行 docker-compose up
检查 SELinux（仅限 CentOS/RHEL）
若系统启用了 SELinux，它可能拦截挂载目录的读写：
- 临时禁用验证：运行 sudo setenforce 0
- 永久方案：用 chcon -R -t container_file_t /path/to/mount 标记目录
- 或在 docker-compose.yml 的 volume 条目后加 :z 或 :Z（如 - ./src:/var/www/html:z）
避免 root 用户写入引发的反向问题
如果容器默认以 root 运行，而挂载目录属主是普通用户，会导致容器内生成的文件宿主机无法修改：
- 不要在 Dockerfile 中用 USER root 硬编码
- 删除或注释掉镜像中不必要的 chown /var/www 类命令
- 确保应用代码不依赖固定用户（如 Laravel 的 storage 目录需对运行用户可写）
