配置 Docker tmpfs 权限的关键是将 mode、uid、gid 等作为冒号后逗号分隔的挂载选项，如 --tmpfs /run/cache:rw,size=64m,mode=755,uid=1001,gid=1001,noexec,nosuid；禁用 --tmpfs-mode 等错误写法。
配置 docker tmpfs 挂载的权限参数，关键在于理解 --tmpfs 是一个整体挂载指令，而 mode、uid、gid 等不是独立参数，而是跟在冒号后、与 size 等并列的挂载选项，必须用英文逗号分隔。
正确写法：所有选项统一写在冒号后
✅ 正确示例：
--tmpfs /run/cache:rw,size=64m,mode=755,uid=1001,gid=1001,noexec,nosuid--tmpfs /tmp:rw,size=128m,mode=1777,noexec,nosuid,nodev
⚠️ 常见错误写法（Docker 会报错或被忽略）：
-
--tmpfs-mode 755（不存在该参数） -
--tmpfs /tmp --mode 755（语法不支持） -
--tmpfs /tmp:mode=755 size=64m（缺少逗号，解析失败）
核心权限参数含义与推荐值
mode：八进制目录初始权限，影响谁可读写执行。常见组合：
-
mode=755：服务进程（属主）可读写执行，同组和其他用户只读+执行（适合多数缓存目录） -
mode=700：仅属主可读写执行（适合敏感临时数据，如密钥缓存） -
mode=1777：全用户可读写，但带 sticky bit（防止非属主删除他人文件），适用于多用户共享的临时区（如/tmp）
uid/gid：指定挂载点目录的所有者和所属组 ID。必须配合 mode 使用才有效果：
- 若容器内应用以用户
1001:1001运行，应设uid=1001,gid=1001，避免因权限不足无法写入 - 不设 uid/gid 时，目录默认属主为 root，普通非特权用户可能无权写入
安全相关挂载选项不能省略
有状态微服务临时缓存虽需可写，但必须限制风险面：
-
noexec：禁止执行任何二进制或脚本（防缓存注入恶意程序） -
nosuid：忽略 setuid/setgid 位（防提权） -
nodev：禁止创建设备文件（防越权访问硬件） -
relatime：优化访问时间更新策略，降低开销（默认已启用，显式写上更明确）
替代方案：--mount 更清晰（推荐用于复杂配置）
当需要精细控制或避免命令行过长时，可用 --mount 替代 --tmpfs：
--mount type=tmpfs,destination=/run/myapp, tmpfs-size=67108864,tmpfs-mode=700,uid=1001,gid=1001
注意：tmpfs-size 单位是字节（如 64MB = 67108864），tmpfs-mode 是唯一带 tmpfs- 前缀的选项，但仅在此语法下有效；--tmpfs 下仍须用 mode=。
