--mount type=tmpfs是生产环境推荐方式，因--tmpfs不支持uid/gid、mode等细粒度权限配置，而--mount可精确控制tmpfs-size、tmpfs-mode、tmpfs-uid、tmpfs-gid及noexec/nosuid等关键参数，确保安全与资源隔离。
直接用 --tmpfs 无法设置 uid/gid、mode 等细粒度权限，真正支持高级配置的只有 --mount type=tmpfs。它比 --tmpfs 更灵活，是生产环境推荐的方式。
为什么必须用 --mount 而不是 --tmpfs
--tmpfs 只接受简单键值对（如 size=64m,noexec），不支持用户/组属主、目录初始权限、挂载传播等关键控制项。--mount 是 Docker 推荐的现代挂载语法，完整兼容 Linux tmpfs 挂载选项，底层调用一致但表达能力更强。
--mount type=tmpfs 的核心参数详解
基础格式：--mount type=tmpfs,destination=/path,tmpfs-mode=0755,tmpfs-uid=1001,tmpfs-gid=1001,tmpfs-size=128m,tmpfs-noexec,tmpfs-nosuid
- destination：容器内挂载路径（必需）
-
tmpfs-size：最大内存用量，支持
m/g后缀（如256m、1g） -
tmpfs-mode：八进制权限（如
0700或1777），影响目录创建时的默认权限 - tmpfs-uid 和 tmpfs-gid：指定挂载点所属用户和组 ID（非用户名/组名，需用数字）
- tmpfs-noexec、tmpfs-nosuid、tmpfs-nodev：布尔开关，启用即生效，无需赋值
典型高级配置示例
为 Redis 容器配置安全、隔离的临时缓存目录：
docker run -d \ --name redis-secure \ --mount type=tmpfs,destination=/data,tmpfs-size=512m,tmpfs-mode=0700,tmpfs-uid=999,tmpfs-gid=999,tmpfs-noexec,tmpfs-nosuid \ redis:7-alpine
说明：
-
/data在容器内由 Redis 使用，仅限 UID 999（redis 用户）读写 -
0700确保其他用户完全不可见 -
noexec+nosuid阻断任意代码执行与权限提升路径 -
512m防止缓存无节制增长挤占主机内存
常见陷阱与绕过方法
某些镜像启动后会自动 chown / chmod 挂载点，覆盖 tmpfs-mode 和 tmpfs-uid 设置。应对方式：
- 在 CMD 或 entrypoint 中显式执行
chown 999:999 /data && chmod 0700 /data - 使用
user: "999:999"配合--mount，让进程以目标 UID 启动，避免后续权限冲突 - 若需
1777（如/tmp），必须确认应用不依赖 setuid 程序，否则nosuid仍应保留
