permission denied 错误主因是 nfs 服务端导出策略（如 root_squash/all_squash）与 uid/gid 映射不匹配，而非本地文件权限；需检查 /etc/exports 配置、挂载选项（如 nosuid/noexec）、客户端进程 uid 与服务端目录属主是否一致，并注意 nfsv4 idmapd 干扰。
Permission denied 错误在 NFS 客户端访问时非常常见，但原因往往不在“文件权限”本身——ls 能列出、cat 能读取，偏偏 touch 或 sh 就报错，说明问题出在服务端的导出策略或 UID/GID 映射上，而不是本地 chmod 没设好。
检查 /etc/exports 中的 root_squash 和 all_squash 配置
NFS 服务端默认启用 root_squash，它会把客户端的 root 用户强制映射成服务端的 nobody（或 nfsnobody）。如果你用 root 挂载，又想往共享目录写文件，而服务端该目录属主不是 nobody，就会直接 Permission denied。
常见错误配置：
-
/data 192.168.1.0/24(rw,sync)—— 没写root_squash或no_root_squash，实际按默认生效，但服务端/data属主是appuser:appgroup，nobody 写不进去 -
/data 192.168.1.0/24(rw,sync,all_squash,anonuid=1001,anongid=1001)—— 忘了配anonuid/anongid，结果所有用户都被映射成 UID 65534（nobody），还是没权限
正确做法是：确认服务端目标目录的属主 UID/GID（ls -ld /data），再在 exports 里显式指定 anonuid 和 anongid，然后 exportfs -ra 重载。
验证客户端挂载时是否带了 nosuid 和 noexec
很多管理员为安全起见，在 mount 命令或 /etc/fstab 里加了 nosuid,noexec。这会导致即使脚本有 x 权限，也无法执行：sh setup.sh 或 ./setup.sh 都会报 Operation not permitted，和 Permission denied 表现类似但根源不同。
排查方法：
- 运行
mount | grep nfs，看输出中是否含nosuid或noexec - 临时重新挂载测试：
sudo umount /mnt/nfs && sudo mount -t nfs -o rw,relatime,vers=4.1 server:/data /mnt/nfs（去掉所有限制选项） - 如果此时能执行脚本，说明就是挂载选项拦住了，不是服务端权限问题
比对客户端进程 UID/GID 与服务端文件属主是否匹配
Docker 容器或非 root 用户访问 NFS 时，Permission denied 往往是因为 UID 不一致。例如服务端文件属主是 UID 1001，而容器内进程以 UID 1000 运行，NFS 不做自动映射，直接拒绝。
关键检查点：
- 在客户端执行
id，记下当前用户的uid和gid - 在服务端执行
ls -ln /data/target_file，看第三、四列数字（UID/GID） - 如果不等，且服务端没配
all_squash+anonuid，那必然失败 - 容器场景可加挂载参数修复：
-v /data:/app/data:rw,uid=1001,gid=1001（需内核支持，部分发行版需用nfs4_uid等变体）
留意 NFS 版本与 idmapping 的隐性干扰
NFSv4 默认启用 ID 映射（idmapd），它试图把用户名/组名转成 UID/GID。但在跨域、无 LDAP、或 Azure 文件存储等受限环境里，这个机制反而会出错——比如遇到含冒号的文件名，idmapd 自动 fallback 并启用错误映射，导致后续所有操作都 Permission denied。
临时关闭验证：
- 客户端停掉服务：
sudo systemctl stop rpc-idmapd - 改用 NFSv3 测试：
mount -t nfs -o vers=3 server:/data /mnt/nfs - 或者强制禁用映射：
mount -t nfs -o nolock,nordirplus,lookupcache=none server:/data /mnt/nfs
如果关掉 rpc-idmapd 后问题消失，说明是名字解析环节出了岔子，而不是权限本身。
真正卡住人的地方，往往不是“能不能连上”，而是“连上了，也挂好了，就是碰不了”。这时候要立刻跳出 chmod 思维，盯住服务端 exports 的 squash 策略、客户端挂载选项、以及 UID 是否真实对得上——三者缺一不可。
