根本原因是windows acl权限模型与linux容器uid/gid机制不兼容，且docker desktop默认仅授权访问用户主目录下路径；需检查file sharing白名单、启用wsl2引擎、调整acl权限或改用命名卷。
Win11下Docker Desktop挂载本地目录时提示“Permission denied”，根本原因是Windows ACL权限模型与Linux容器内UID/GID权限机制不兼容，且Docker Desktop默认只授权访问用户主目录下的子路径，超出范围就会被拦截。
确认挂载路径是否在Docker Desktop白名单内
打开Docker Desktop → Settings → Resources → File Sharing，检查你试图挂载的路径（如 D:\projects\myapp\logs）是否已勾选。未勾选的路径会被直接拒绝访问，连错误日志都可能不输出完整信息。
如果路径不在列表中，点击“+”添加完整路径（注意：只加到父级文件夹即可，比如添加 D:\projects，其下所有子目录自动获得授权）。
添加后必须点击右下角“Apply & Restart”——仅点Apply不重启，新路径不会生效。
启用Windows子系统WSL2并切换到Linux容器模式
Win11默认安装Docker Desktop时可能仍运行在Hyper-V旧模式，而挂载权限问题在WSL2后端下更可控。
进入Docker Desktop → Settings → General → 勾选“Use the WSL 2 based engine”；再进Resources → WSL Integration → 启用当前使用的WSL发行版（如 Ubuntu-22.04）。
关键操作：关闭所有终端和IDE，右键任务栏Docker图标→Quit Docker Desktop，再重新启动。不彻底退出会导致WSL集成不加载，挂载仍失败。
调整宿主机目录的Windows ACL权限
方法一：通过资源管理器图形界面
右键目标文件夹 → Properties → Security → Edit → Add → 输入“Everyone” → 勾选“Full control” → OK。这是最快速验证手段，适用于开发机。
方法二：命令行强制继承（推荐用于项目目录）
以管理员身份打开PowerShell，执行：
icacls "D:\projects\myapp\data" /grant Everyone:(OI)(CI)F /t
其中(OI)表示对象继承、(CI)表示容器继承、F为完全控制权，/t递归应用到子项。
注意：若目录位于OneDrive或Teams同步文件夹内，即使ACL放开也可能被云服务锁定，此时需将目录移出同步根路径再试。
容器内绕过权限限制的启动方式
方法1：挂载时显式声明读写权限标签
docker run -v D:\projects\myapp\config:C:\app\config:rw --name myapp image:latest
方法2：禁用Windows资源管理器的“受保护的视图”干扰（仅影响某些GUI应用）
在PowerShell中运行：
Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" -Name "SaveZoneInformation" -Value 1
方法3：改用命名卷替代路径挂载（彻底避开Windows ACL）
docker volume create myapp-data
docker run -v myapp-data:/app/data --name myapp image:latest
命名卷数据实际存于WSL2内部文件系统，不受Windows权限体系约束，适合配置文件、缓存等非调试场景。
