Docker 数据卷、文件权限与密钥怎么配置

Thu, 03 Sep 2026 00:00:00 +0800

数据库和应用状态写入 volume，只读配置使用 bind mount，密钥通过文件挂载给指定服务。配置完成后还要核对进程 UID/GID，并分别执行容器重建和独立恢复。

数据库写入 named volume，配置只读挂载，密钥仅挂载到需要它的服务。

根据数据用途选择 named volume、bind mount 或 tmpfs

类型	适合内容	优点	主要风险
named volume	数据库、队列、应用持久状态	生命周期由 Docker 管理，路径不与单台主机布局强耦合	宿主备份和迁移要明确卷名与驱动
bind mount	Caddyfile、明确的数据目录、宿主脚本	路径可见，便于现有备份与权限工具管理	强依赖宿主路径、属主和 SELinux/AppArmor 条件
tmpfs	临时敏感文件、无需持久化的高速临时数据	不写入持久磁盘	重启即丢失，容量占用内存

Docker storage 文档（在新标签页打开）建议优先用 volume 保存容器生成的持久数据；bind mount 更适合需要直接共享和管理的宿主文件。镜像层不适合承载运行数据，容器删除时可写层也会消失。

Wed, 02 Sep 2026 10:00:00 +0800

docker compose up -d 只能说明容器已经启动。生产部署还要固定镜像、保存数据、隔离端口、限制资源，并验证容器和主机重启后的恢复结果。

公网只开放反向代理的 80/443；应用端口留在回环地址或容器网络中。

单台主机、服务数量不多、依赖关系清楚时，Compose 足以承担部署：