docker挂载宿主机目录必须实施权限最小化：明确容器用户uid/gid，宿主机创建同uid/gid用户，chown目录并设750等最小权限，运行时用--user指定uid/gid，最后验证权限生效。
在 Docker 中挂载宿主机目录时，权限最小化不是“选配”，而是必须落实的安全实践。核心原则是：容器内进程只应拥有完成其任务所必需的最小文件系统访问权限，且宿主机上对应目录的属主、属组和权限需严格匹配容器运行用户（非 root），避免因 UID/GID 不对齐或过度宽松的权限（如 777）导致提权或数据越界访问。
明确容器内运行用户的 UID/GID，并在宿主机创建对应用户
Docker 默认以 root 用户启动容器，但绝大多数服务（如 Nginx、PostgreSQL、Node.js 应用）无需 root 权限。应在 Dockerfile 中使用 USER 指令指定非特权用户，并记录其 UID 和 GID：
- 推荐在 Dockerfile 中显式创建用户，例如：
RUN groupadd -g 1001 -r appgroup && useradd -r -u 1001 -g appgroup appuser
然后 USER appuser - 构建镜像后，可用 docker inspect
| grep -A 5 User 确认实际 UID/GID - 在宿主机上创建同 UID/GID 的用户（仅用于权限映射，无需登录权限）：
sudo groupadd -g 1001 appgroup && sudo useradd -r -u 1001 -g appgroup appuser
挂载前设置宿主机目录的属主与最小权限
挂载点目录不能属于 root，也不能是全局可写。应归属容器用户 UID/GID，并关闭不必要的权限位：
- 将目录属主设为对应 UID/GID：
sudo chown -R 1001:1001 /path/on/host - 权限建议：
• 配置类只读目录（如 /etc/app）→ chmod 755 或更严（如 750，若仅限特定组）
• 数据目录（如 /var/lib/app）→ chmod 750（owner rwx, group rx, others —）
• 日志目录（需追加写）→ chmod 750 + 确保容器用户有写权限，避免 777 或 775 - 禁用 setuid/setgid/sticky 位（除非明确需要），防止意外行为
使用 --user 显式覆盖容器用户，绕过镜像默认设置
即使镜像未定义 USER，也可在运行时强制指定 UID/GID，确保与宿主机目录权限对齐：
- 直接指定数值（最稳妥，不依赖用户名解析）：
docker run -v /host/data:/app/data:z --user 1001:1001 myapp - 若宿主机已建对应用户，也可用用户名（Docker 会尝试解析，但依赖容器内 /etc/passwd）：
docker run -v /host/data:/app/data:z --user appuser:appgroup myapp - 注意：:z（SELinux）或 :Z 标签仅在启用 SELinux 的系统中使用，普通 Linux 发行版无需添加
验证挂载后容器内权限是否生效
运行容器后，进入交互模式检查实际权限是否符合预期：
- 执行：docker exec -it
sh - 运行：id → 确认 UID/GID 正确
ls -ld /app/data → 查看挂载点权限与属主
touch /app/data/test && rm /app/data/test → 验证读写能力
ls -l /app/data → 检查新建文件属主是否为当前 UID（应一致） - 若提示 Permission denied，优先排查宿主机目录属主是否为该 UID，而非盲目加 chmod 777
