docker容器不能通过volume挂载宿主机目录，必须使用bind mount（-v /host/path:/container/path或--mount type=bind）；volume由docker管理，路径固定在/var/lib/docker/volumes/下，而bind mount才支持映射宿主机任意绝对路径。
直接说结论：Docker 容器不能通过 Volume 挂载宿主机目录——Volume 是 Docker 自己管理的存储，路径在 /var/lib/docker/volumes/ 下，不直接对应宿主机任意路径；你要挂载宿主机目录，必须用 Bind Mount（绑定挂载），也就是 -v /host/path:/container/path 或 --mount type=bind,source=/host/path,target=/container/path。
区分 Volume 和 Bind Mount 是关键
很多人混淆这两个概念，以为“-v 就是 volume”，其实 -v 是个重载命令，它既能做 Bind Mount，也能做 Volume，取决于写法：
-
-v /home/user/data:/app/data→ 这是 Bind Mount（宿主机真实路径） -
-v mydata:/app/data→ 这是 Named Volume（Docker 管理，路径在/var/lib/docker/volumes/mydata/_data） -
-v /app/data→ 这是 Anonymous Volume（Docker 自动分配名字和路径）
只有前一种才能把你的宿主机目录（比如 /opt/myapp/config）真正映射进去。
正确挂载宿主机目录的操作要点
用 -v 做 Bind Mount 时，必须满足三个前提：
- 宿主机路径（冒号左边）必须已存在，且运行 Docker 的用户有读写权限；Docker 不会帮你创建父目录
- 容器内目标路径（冒号右边）若原本有文件（如 Nginx 的
/usr/share/nginx/html），挂载后原内容被完全遮蔽，只显示宿主机目录内容 - Windows/macOS 用户注意：
~/myapp这类 shell 路径在docker run中不会展开，必须写成绝对路径，例如/Users/xxx/myapp或C:\Users\xxx\myapp
怎么确认挂载成功了
别光看命令没报错，要验证：
- 进容器执行
ls -l /container/path，看内容是否和宿主机对应目录一致 - 在宿主机该目录下新建一个文件，再进容器检查是否实时出现
- 运行
docker inspect 容器名，查"Mounts"字段：
– 如果Type是bind，Source显示你写的绝对路径，说明是 Bind Mount 成功
– 如果Type是volume，那你就没挂到宿主机目录，而是用了 Docker 管理的卷
权限与只读控制的实际效果
:ro 只限制容器内进程的写操作，不是安全隔离手段：
-
-v /host:/container:ro→ 容器里echo hi > file会报Read-only file system - 但宿主机上仍可随意删、改、新建文件，容器内立刻可见变化
- 容器内 root 用户可通过
mount -o remount,rw尝试绕过（取决于内核和容器配置），所以别依赖:ro做权限兜底
