Linux bind mount 怎么二次挂载为只读

Linux 中把一个目录绑定到另一个路径后，如果希望新路径只读，经典做法是先执行一次 bind mount，再对目标挂载点执行 remount,bind,ro。第一步建立第二个挂载视图，第二步只修改这个视图的 VFS 只读属性。

只读的是新的目标挂载点，不是底层文件系统的 superblock。源路径通常仍可写；写入限制只在通过目标路径访问时生效。

参考手册：https://man7.org/linux/man-pages/man8/mount.8.html

先分清数据来源与挂载视图

bind mount 不复制文件，也不会生成一份独立数据。它把现有目录树的同一内容再附着到另一个路径。源目录和目标目录因此看见相同的数据，但它们是两个独立的挂载入口。

sudo mkdir -p /opt/app/config  # 创建目标挂载点，目录本身不保存副本
sudo mount --bind /srv/config /opt/app/config  # 建立同一内容的第二个访问入口

此时目标通常仍可写，因为普通 --bind 保留原挂载点的内核挂载选项。不要把“路径换了”误解成“权限自动收紧”。

分两次把目标切成只读

完成 bind 后，对目标执行二次挂载：

sudo mount -o remount,bind,ro /srv/config /opt/app/config  # 只修改目标 bind 视图为只读

remount 表示调整已有挂载，bind 把操作限定到这个绑定挂载，ro 设置只读。mount 手册给出的经典示例正是这两条命令。

现代 util-linux 也允许组合写法：

sudo mount -o bind,ro /srv/config /opt/app/config  # mount 在用户空间追加一次 remount 调用

但手册明确说明，这个便利写法由用户空间通过额外的 mount(2) 调用实现，不是原子的。需要兼容旧环境或清楚观察每个阶段时，两步写法更直观。

核对只读属性是否落在目标

不要只看命令退出码。mount 手册建议脚本使用 findmnt 获取更稳健、可定制的挂载信息：

findmnt -T /opt/app/config -o TARGET,SOURCE,FSTYPE,VFS-OPTIONS,FS-OPTIONS  # 检查目标视图的 ro 属性
findmnt -T /srv/config -o TARGET,VFS-OPTIONS  # 对照源路径通常仍保持可写

目标行的 VFS-OPTIONS 应包含 ro。只读 bind 会创建只读挂载点，但原文件系统 superblock 仍可能可写，所以从源路径写入依然能改变目标看到的内容。

子挂载和非原子窗口要单独判断

--bind 只附着一个文件系统中的指定部分，不自动包含其下的其他子挂载。若源目录下存在独立挂载点，需要评估 --rbind。经典 mount(2) 不支持用 -o rbind,ro 递归修改所有子挂载选项；较新的 util-linux 与内核接口才提供递归属性能力，不能把普通两步命令直接套到整棵挂载树。

组合写法存在短暂窗口：第一次调用成功后、只读 remount 完成前，目标可能暂时可写。对敏感目录，应在应用启动前完成挂载，限制并发访问，并把失败视为部署失败。

撤销与持久化

撤销时卸载目标即可，不会删除源数据：

sudo umount /opt/app/config  # 只移除目标挂载视图，不删除源目录内容

写入 /etc/fstab 时，不同 util-linux 版本对 bind 与 remount 的处理细节可能不同。生产环境应依据发行版自带的 mount(8) 与 fstab(5) 手册确认，并用 findmnt --verify 检查配置；不要用 mount -a 充当 fstab 校验器。

快速检查清单

• 源目录和目标目录是否真实存在；
• 是否先 bind，再执行 remount,bind,ro；
• findmnt 的目标 VFS 选项是否包含 ro；
• 是否误以为源路径也会只读；
• 源目录下是否存在需要单独处理的子挂载；
• 组合命令的非原子窗口是否可接受；
• 失败时是否立即卸载目标并阻止应用继续启动。