docker bind mount 报错需按路径存在性、权限匹配、selinux/apparmor拦截、挂载方式混淆四步排查：先用ls确认宿主机路径真实存在且非空链接，再比对uid/gid并调整--user或chown，接着检查getenforce状态并加:z标签，最后区分-v绝对路径（bind）与-v卷名（volume）。
遇到 Docker Bind Mount 报错，别急着重试，先定位是哪一层出了问题。核心就三点：路径是否真实存在、权限是否匹配、挂载方式是否用对。下面分场景说清楚怎么一步步查。
路径不存在或拼写错误
这是最常踩的坑——命令里写的路径，宿主机上压根没有。
- 运行 ls -ld /你写的宿主机路径，确认目录存在且不是空链接
- 避免用相对路径，比如
docker run -v ./data:/app；改用$(pwd)/data或绝对路径 - 如果路径含空格或特殊字符（如中文、括号），务必用引号包裹，否则 shell 会截断
- Docker 不会自动创建父目录，
/a/b/c要求/a和/a/b都得提前存在
权限不匹配导致“Permission denied”
容器进程 UID 和宿主机目录 UID 对不上，哪怕路径正确也读不了、写不了。
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 在宿主机运行 ls -n /挂载路径，看 owner 和 group 的数字 ID（比如
1001 1001） - 进容器：docker exec -it 容器名 id，查主进程实际运行的 UID/GID
- 若两者不一致，常见解法有三种：
— 启动时加 --user $(id -u):$(id -g)，让容器用当前用户身份运行
— 宿主机上 chown -R 1001:1001 /挂载路径（把目录归属改成容器需要的 ID）
— 临时调试可用 chmod -R 755 /挂载路径，但生产环境慎用
SELinux 或 AppArmor 拦截访问
主要出现在 CentOS/RHEL/Fedora 等启用强制访问控制的系统上，报错常无明确提示，只显示“operation not permitted”或静默失败。
- 检查是否启用 SELinux：getenforce，返回
Enforcing就是开启状态 - 临时放开：在挂载参数末尾加 :Z（私有标签）或 :z（共享标签），例如
-v /host/data:/container/data:Z - 长期方案：为目录打上合适上下文，如 chcon -Rt container_file_t /host/data
混淆 Bind Mount 和 Volume 导致行为异常
把命名卷（Volume）的写法套在 Bind Mount 上，或者反过来，都会出意料外的结果。
-
Bind Mount 必须指定完整宿主机路径，不能写成
-v myvol:/app（这是 Volume 写法） - Volume 由 Docker 自动管理路径，宿主机上看不到你写的路径；Bind Mount 的路径你随时可 ls 查看
- 开发环境优先用 Bind Mount（热更新代码），生产环境优先用 Volume（权限可控、生命周期独立）
