bind mount 是实现宿主机与容器双向实时映射的最直接方式，需使用绝对路径、提前创建宿主机目录、确保权限匹配，并推荐用 --mount 语法验证挂载生效。

要实现宿主机物理路径与容器目录的实时精准双向映射，Docker 的 Bind Mount 是最直接、最可控的方式。它不经过 Docker 管理的数据卷层，而是将宿主机上已存在的绝对路径原样挂载进容器，任何一方的文件增删改，另一方立即可见——无需同步命令，也无延迟。

必须使用绝对路径，并提前创建宿主机目录

Bind Mount 要求宿主机路径必须是绝对路径（如 /home/user/project），且不能是相对路径或符号链接（除非目标真实存在且可访问）。Docker 23.0+ 版本默认不会自动创建宿主机目录，若路径不存在，容器启动会失败。因此务必手动创建：

• mkdir -p /home/user/myapp/data
• 确认权限：确保运行 Docker 的用户对该目录有读写权（尤其在非 root 用户下）
• 避免挂载到容器内已有内容的路径（如 /usr/src/app），否则宿主机内容会覆盖容器原始文件

正确使用 -v 或 --mount 语法

推荐优先使用 --mount，语义更清晰、选项更完整；-v 更简洁，适合日常快速操作。两者效果一致，但行为细节略有差异：

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

• 用 -v： docker run -v /home/user/myapp:/app:rw nginx
• 用 --mount： docker run --mount type=bind,source=/home/user/myapp,target=/app,rw nginx
• :rw 可省略（默认即读写）；加 :ro 则设为只读，适合配置文件或静态资源
• 不建议混用 -v 和 --mount 同时挂载同一路径，易引发冲突

验证挂载是否生效且双向实时

启动容器后，需从两端分别验证，确保映射准确、权限通透、变更即时：

• 在宿主机执行：echo "test" > /home/user/myapp/hello.txt，再进容器检查：docker exec -it mycontainer cat /app/hello.txt
• 在容器内执行：echo "from container" >> /app/log.txt，再回宿主机查看：cat /home/user/myapp/log.txt
• 用 docker inspect mycontainer 查看 Mounts 字段，确认 Type 为 bind，Source 和 Destination 与预期完全一致

注意特殊场景与常见陷阱

Bind Mount 看似简单，但在实际使用中容易踩坑：

• Windows/macOS 用户通过 Docker Desktop 使用时，宿主机路径需属于已共享的目录（如 Windows 的 C:\Users，macOS 的 /Users），否则挂载失败
• SELinux 启用时（如 CentOS/RHEL），需加 :z 或 :Z 标签处理上下文，例如 -v /data:/app:z
• 不要挂载整个根目录（/）或系统关键路径（如 /etc、/var/run），可能破坏容器稳定性或宿主机安全
• 若容器内应用以非 root 用户运行（如 UID 1001），需确保宿主机目录对该 UID 可写，必要时用 chown 1001:1001 /host/path