mount bind 只读怎么配置或排查

Linux 里的 mount --bind 只是给同一目录增加一个访问入口，默认不会自动变成只读。要让新入口只读，最稳妥的写法是先 bind，再对目标挂载点执行 remount,bind,ro：

# 先准备源目录和目标挂载点
sudo mkdir -p /srv/data /mnt/data-ro
sudo mount --bind /srv/data /mnt/data-ro

# 只把目标挂载点改成 VFS 只读
sudo mount -o remount,bind,ro /srv/data /mnt/data-ro

这样，/mnt/data-ro 的写入会被拒绝，而 /srv/data 仍按原来的权限和文件系统状态工作。这里的“只读”是访问入口的限制，不是把底层 superblock 整体切成只读。

mount bind 只读的正确配置：先 bind，再 remount

第一条命令建立“同一内容、两个入口”的关系，第二条命令才改变目标入口的挂载属性。把两步拆开，出现“命令成功但还能写”时更容易判断到底是哪一步没有生效。

也可以使用较新的 util-linux 直接写成 mount -o bind,ro /srv/data /mnt/data-ro。mount(8) 说明这种写法由用户空间额外发起 remount，并非旧内核 bind 调用本身的原子能力；需要兼容不同发行版时，优先保留上面的两阶段写法。

findmnt 怎么确认只读真的生效

不要只看命令退出码，也不要只在源路径上测试。先查看目标路径解析到的挂载项：

# 用目标路径反查实际挂载点，分别显示 VFS 与文件系统选项
sudo findmnt -T /mnt/data-ro -o TARGET,SOURCE,FSTYPE,OPTIONS,VFS-OPTIONS,FS-OPTIONS

# 用一个临时文件做最小写入探针；失败才符合目标入口只读预期
sudo sh -c 'touch /mnt/data-ro/.mount-ro-probe'
sudo rm -f /mnt/data-ro/.mount-ro-probe

预期是输出中的目标项含有 ro，写入返回 Read-only file system。如果输出为 rw，先确认 findmnt -T 的 TARGET 确实是目标路径，而不是它下面后来覆盖的子挂载。

rbind、fstab 和命名空间为什么容易误判

如果源目录里还有其他挂载点，--bind 只复制当前挂载，--rbind 才会连同子挂载树一起复制。但经典的 mount(2) 不会凭一个 rbind,ro 把所有层级都递归改成只读。较新的 util-linux 在支持 mount_setattr(2) 的系统上提供实验性的 ro=recursive 形式，使用前仍应以 findmnt 逐层确认；不满足条件时，按实际子挂载逐个处理更可控。

写入 /etc/fstab 时，/srv/data /mnt/data-ro none bind,ro 0 0 是否按预期工作取决于发行版携带的 util-linux 行为。生产环境可先用手工两阶段命令确认，再把等价配置纳入启动流程。容器里还要注意 mount namespace：挂载发生在容器内部时，宿主机不一定能看到；反过来，宿主机创建的只读挂载进入受限 namespace 后，某些挂载标志可能被锁定，不能在低权限 namespace 中改回可写。

常见问题

bind 只读会让源目录也不能写吗？

不会。remount,bind,ro 只限制目标挂载点；源路径是否可写仍由原挂载、权限和文件系统状态决定。

为什么加了 ro 还是可以写？

常见原因是只执行了普通 bind、写入路径落在子挂载，或检查和访问不在同一个命名空间。用 findmnt -T 和写入探针逐项排除。

什么时候该用 rbind？

只有需要复制源目录下的子挂载时才用 rbind；单个普通目录用 --bind 更容易控制边界。