临时文件隔离靠路径控制、挂载策略和生命周期管理实现；docker compose 通过命名卷、绑定挂载、启动脚本初始化及生产环境卷限制等手段保障各环境临时文件互斥、可追溯、可审计。
临时文件隔离不是靠“删掉”来实现的，而是靠路径控制、挂载策略和生命周期管理。Docker Compose 本身不提供“临时文件自动清理”功能，但可以通过 volume 设计、目录挂载方式和服务启动顺序，让每个环境的临时文件互不干扰、可预测、可追溯。
用命名卷隔离服务级临时目录
不要把临时文件写进容器根文件系统（如 /tmp），那会随容器销毁而丢失，且多个实例共享同一镜像层时可能产生冲突。应为每个服务显式声明专用命名卷：
- 在 volumes 区块定义带前缀的卷名，例如 web-tmp、worker-cache
- 在服务中通过 volumes 挂载到容器内固定路径，如 - web-tmp:/app/tmp
- 卷名带环境标识更安全，比如 web-tmp-dev 和 web-tmp-prod，避免跨环境误用
开发环境用绑定挂载 + .gitignore 控制本地临时文件
本地调试时，常需实时查看或手动清理临时文件（如上传缓存、日志快照）。这时用宿主机路径绑定挂载更灵活：
- 配置类似 - ./tmp/web:/app/tmp:rw，确保路径存在且权限正确（宿主机需 chmod 775 ./tmp/web）
- 将该目录加入 .gitignore，防止误提交测试生成物
- 配合 docker-compose down -v 可一键清空所有关联卷，但注意：绑定挂载的宿主目录不会被删除，需单独 rm -rf ./tmp
用启动脚本统一初始化临时目录权限与结构
某些应用（如 PHP-FPM、Node.js 中间件）对 /tmp 下子目录有硬性权限或所有权要求。直接挂载可能因 UID/GID 不匹配导致写入失败。推荐做法：
- 在服务镜像的 ENTRYPOINT 或 command 中加入初始化逻辑，例如：
sh -c "mkdir -p /app/tmp/uploads && chmod 775 /app/tmp/uploads && exec \"$@\"" - 或使用 initContainer 思路（Compose v2.23+ 支持 profiles 和前置命令），在主服务启动前运行一次性 setup 脚本
- 避免在 Dockerfile 中 RUN mkdir /tmp/xxx —— 容器启动时挂载会覆盖该路径，初始化失效
生产环境禁用全局 /tmp，强制走卷挂载
线上场景下，临时文件必须可持久化追踪、可审计、可限流。关键控制点：
- 移除所有对容器 /tmp 的隐式依赖，代码中统一读取环境变量指定路径，如 TMP_DIR=/app/tmp
- 在 docker-compose.prod.yml 中为临时卷设置 driver_opts，限制大小或启用只读（部分场景）：
driver_opts: { "o": "size=1G" }（需底层存储驱动支持） - 配合 deploy.resources.limits 间接约束临时文件增长速度，例如限制内存可防大文件缓存失控
