答案是挂载路径必须以/volume1/开头、宿主机目录需在dsm中配置读写权限、容器须指定-u $(id -u):$(id -g)、-w工作目录须与挂载路径一致，且alpine镜像需额外处理ca证书。
挂载路径必须用 /volume1/ 开头，且宿主机目录要有写权限
群晖 Docker 只认 /volume1/ 及其子路径作为合法挂载点，/home/、/tmp/ 或相对路径一律失败。你看到的 file_put_contents(/app/composer.json): Permission denied 错误，90% 是因为挂载路径没走 /volume1/，或者该路径在 DSM 的「共享文件夹」权限里没给当前用户「读写」权限。
- 正确写法：
-v /volume1/web/myproject:/app - 错误写法：
-v ~/myproject:/app、-v /tmp/myproject:/app、-v ./myproject:/app - 确认权限：进 DSM →「控制面板」→「共享文件夹」→ 找到对应文件夹 →「编辑」→「权限」→ 确保你的登录用户（如
admin）有「读写」勾选
必须指定 -u $(id -u):$(id -g)，否则 vendor 目录归属 root
群晖默认以 root 用户启动容器，但宿主机上你操作文件用的是普通 DSM 用户（UID/GID 通常为 1024/100）。不加 -u 参数，composer install 生成的 vendor/ 和 composer.lock 全是 root:root 所有者，后续你在 DSM 文件站或 Git CLI 里就改不了、删不掉、提交不了。
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 正确写法：
docker run --rm -u $(id -u):$(id -g) -v /volume1/web/myproject:/app -w /app php:8.2-cli composer install - 别信
--user或USER指令能替代——那是构建时设定，运行时仍需显式传 UID/GID - 如果项目已存在
vendor/且属主是root，先在 DSM 文件站里右键 →「属性」→「权限」→「高级设置」→「递归更改所有权」到你的用户
-w /app 工作目录不能省，且要和挂载路径一致
composer install 必须在项目根目录执行，否则会报 Could not find a composer.json file in / 或 silently 在容器根目录下新建一个空 vendor/。Docker 默认工作目录是 /，不设 -w 就等于让 composer 在容器系统根跑命令。
- 挂载了
-v /volume1/web/myproject:/app，就必须配-w /app - 不要写成
-w /volume1/web/myproject—— 这是宿主机路径，容器里根本不存在 - 如果项目结构是
/volume1/web/myproject/src，而composer.json在src/下，那就挂载-v /volume1/web/myproject/src:/app并保持-w /app
Alpine 镜像需额外挂载 CA 证书，否则 HTTPS 请求全失败
用 php:8.2-cli-alpine 这类镜像时，composer install 会卡在 Downloading https://mirrors.aliyun.com/composer/packages.json，报错 cURL error 60: SSL certificate problem。Alpine 默认没装 CA 证书包，也没从宿主机同步。
- 解决办法一（推荐）：换 Debian 基础镜像，比如
php:8.2-cli-bookworm，自带完整证书链 - 解决办法二：在
docker run里加-v /etc/ssl/certs:/etc/ssl/certs:ro挂载宿主机证书（仅限 x86_64；ARM64 的群晖证书路径可能不同） - 解决办法三：构建时 RUN apk add --no-cache ca-certificates（适合写 Dockerfile 场景）
-v，但路径、用户、工作目录、证书四者缺一不可——少一个，composer install 就不是慢一点，而是直接不动或静默失败。
