docker compose 无原生不可变属性，但可通过 read_only: true 挂载根文件系统、显式声明 tmpfs/volumes 可写路径、只读挂载配置文件、使用精简镜像、非 root 运行及构建时固化配置等协同手段实现运行时不可变性。
Docker Compose 本身不提供“不可变属性”的原生概念（如 Kubernetes 的 readOnlyRootFilesystem），但可通过组合配置实现容器内关键路径的只读化，从而防止运行时配置被意外或恶意修改。核心思路是：限制文件系统写入权限 + 隔离配置来源 + 明确挂载语义。
用 read_only: true 挂载根文件系统
这是最直接的不可变化手段。设置 read_only: true 后，容器根目录（/）及其子目录（除显式声明的 tmpfs 或 volume 挂载点外）全部只读：
services:
app:
image: nginx:alpine
read_only: true
# 注意：需显式挂载必要可写路径，否则容器可能启动失败
tmpfs:
- /tmp
- /run
- /var/run
volumes:
- ./config/nginx.conf:/etc/nginx/nginx.conf:ro # 配置文件也只读挂载
- ./logs:/var/log/nginx:rw # 日志等需写入的路径单独挂载为可写
⚠️ 关键点：启用 read_only: true 后，必须显式通过 tmpfs 或 volumes 提供运行时所需的可写位置（如 /tmp、/run、/var/log），否则进程会因无法写临时文件或 PID 文件而崩溃。只读挂载配置文件与配置目录
即使根文件系统可写，也应确保配置项本身不可被容器内进程覆盖：
- 所有配置文件（如
nginx.conf、application.yml）使用:ro标记挂载 - 避免使用
env_file加载敏感配置（内容会注入到环境变量，易被进程篡改或泄露）；改用secrets或只读挂载的配置文件 - 若用 ConfigMap 类似机制（如通过 volume 挂载配置目录），整个目录挂载时加上
ro
禁用容器内包管理与运行时修改能力
不可变性不仅是文件系统层面，更在于运行时行为约束：
- 选用精简镜像（如
alpine、distroless），移除apk、apt、pip等包管理器，杜绝动态安装/升级组件 - 以非 root 用户运行（
user: "1001:1001"），降低误操作或漏洞利用后的破坏范围 - 通过
security_opt禁用危险能力（可选）：security_opt: ["no-new-privileges:true"]
配合构建阶段固化配置
真正的不可变性始于镜像构建。在 Dockerfile 中将配置作为构建产物 COPY 进镜像，并设为只读权限：
# Dockerfile 片段 COPY --chown=nginx:nginx config/nginx.conf /etc/nginx/nginx.conf RUN chmod 444 /etc/nginx/nginx.conf # 只读权限
再在 docker-compose.yml 中避免覆盖该路径（不挂载同名文件），或仍以 :ro 挂载确保运行时不被修改。
