https://stackonward.com/zh/tags/%E6%96%87%E4%BB%B6%E6%9D%83%E9%99%90/Recent content in 文件权限 on 远栈Hugozh-CNThu, 03 Sep 2026 18:30:00 +0800https://stackonward.com/zh/posts/docker-volume-permissions-secrets/Thu, 03 Sep 2026 00:00:00 +0800https://stackonward.com/zh/posts/docker-volume-permissions-secrets/<p>数据库和应用状态写入 volume，只读配置使用 bind mount，密钥通过文件挂载给指定服务。配置完成后还要核对进程 UID/GID，并分别执行容器重建和独立恢复。</p> <figure> <img src="https://stackonward.com/images/posts/docker-volume-permissions-secrets/zh/storage-boundaries.svg" alt="容器把数据库状态写入 named volume，只读读取宿主配置，并从 secrets 文件读取密码的结构图" loading="lazy" decoding="async"> <figcaption>数据库写入 named volume，配置只读挂载，密钥仅挂载到需要它的服务。</figcaption> </figure> <h2 id="根据数据用途选择-named-volumebind-mount-或-tmpfs">根据数据用途选择 named volume、bind mount 或 tmpfs</h2> <table> <thead> <tr> <th>类型</th> <th>适合内容</th> <th>优点</th> <th>主要风险</th> </tr> </thead> <tbody> <tr> <td>named volume</td> <td>数据库、队列、应用持久状态</td> <td>生命周期由 Docker 管理，路径不与单台主机布局强耦合</td> <td>宿主备份和迁移要明确卷名与驱动</td> </tr> <tr> <td>bind mount</td> <td>Caddyfile、明确的数据目录、宿主脚本</td> <td>路径可见，便于现有备份与权限工具管理</td> <td>强依赖宿主路径、属主和 SELinux/AppArmor 条件</td> </tr> <tr> <td>tmpfs</td> <td>临时敏感文件、无需持久化的高速临时数据</td> <td>不写入持久磁盘</td> <td>重启即丢失，容量占用内存</td> </tr> </tbody> </table> <p><a href="https://docs.docker.com/engine/storage/" target="_blank" rel="noopener">Docker storage 文档<span class="sr-only">（在新标签页打开）</span></a>建议优先用 volume 保存容器生成的持久数据；bind mount 更适合需要直接共享和管理的宿主文件。镜像层不适合承载运行数据，容器删除时可写层也会消失。</p>