Linux mount --bind 组织只读目录映射

如果希望把同一份目录内容暴露到另一个路径，同时只限制这个新入口的写入能力，Linux 的组合写法是：先用 mount --bind 建立映射，再对目标挂载点执行 remount,bind,ro。只读的是目标路径的 VFS 挂载入口，源目录并不会因此变成只读。

本文只讨论目录 bind、只读重挂载、挂载命名空间和 systemd 服务配置，不把它当作文件权限替代品。官方地址：https://www.freedesktop.org/software/systemd/man/latest/

先建立目录映射，再限制目标入口

假设原目录是 /srv/app/shared，给服务准备的只读入口是 /srv/view/shared。目标目录需要先存在，且不要把两个路径混成同一个目录。

# 创建只读视图的挂载点，目录本身不会自动创建
sudo install -d /srv/view/shared

# 让目标路径看到源目录的同一份内容
sudo mount --bind /srv/app/shared /srv/view/shared

# 只限制这个 bind 挂载点，源路径仍可按原来的方式读写
sudo mount -o remount,bind,ro /srv/app/shared /srv/view/shared

--bind 只附加当前文件系统层级，不会自动带上源目录下面的子挂载；如果业务确实需要连同子挂载一起映射，才考虑 --rbind，并单独评估递归只读语义。

用 findmnt 看清到底哪个路径只读

不要只看目录权限来判断 bind 是否生效。目录权限描述的是 inode 访问规则，挂载选项描述的是挂载入口状态。可以直接查看目标路径的挂载信息：

# 按目标路径定位挂载点，并同时展示 VFS 与文件系统选项
findmnt -T /srv/view/shared -o TARGET,SOURCE,FSTYPE,VFS-OPTIONS,FS-OPTIONS

# 用一个明确的写入动作检查目标入口，失败时不改变源目录
if ! touch /srv/view/shared/.readonly-probe 2>/dev/null; then
    # 只读入口拒绝写入是预期结果，随后删除探针无需执行
    echo "目标 bind 挂载点为只读"
else
    # 如果写入成功，说明目标入口没有按预期完成只读重挂载
    rm -f /srv/view/shared/.readonly-probe
    echo "请检查 remount,bind,ro 参数"
fi

这里的判断只针对目标路径。源目录仍可能创建文件，这是 bind 只读视图与文件系统超级块只读之间的区别。若直接使用 mount -o remount,ro 而没有 bind，影响范围可能扩大到文件系统层面，不适合这个隔离目标。

需要隔离时，把映射放进挂载命名空间

临时排查或容器式服务不一定要修改宿主机的全局挂载视图。挂载命名空间让当前 shell 或服务拥有独立的挂载表；进入后先把根挂载设为私有，避免后续传播到其它命名空间。

# 启动一个独立的挂载命名空间，后续挂载只在这个 shell 中可见
sudo unshare --mount --fork --pid --mount-proc bash

# 关闭根挂载的共享传播，避免实验挂载向外传播
mount --make-rprivate /

# 在隔离视图内创建并限制只读目录映射
install -d /srv/view/shared
mount --bind /srv/app/shared /srv/view/shared
mount -o remount,bind,ro /srv/app/shared /srv/view/shared

# 检查当前命名空间看到的挂载关系
findmnt -T /srv/view/shared

退出这个 shell 后，命名空间内的临时映射会随之消失。命名空间解决的是“谁能看到这个挂载”，不是“谁拥有源目录的写权限”；源路径权限和服务用户仍需单独设计。

用 systemd 让服务启动时自动获得只读映射

如果映射只服务于某个 systemd 单元，优先把策略写进单元，而不是在启动脚本里全局执行 mount。BindReadOnlyPaths=源:目标表达的是服务视图中的只读绑定：

[Service]
# 仅在该服务的文件系统视图中提供只读目录
BindReadOnlyPaths=/srv/app/shared:/srv/view/shared

# 让服务不能把系统目录当作普通可写目录使用
ProtectSystem=strict

修改单元后用 systemctl daemon-reload 和服务重启加载新配置，再用 systemctl cat 查看最终单元内容。不同发行版和 systemd 版本对沙箱选项的组合支持可能不同，遇到启动失败时先查看单元日志和权限错误，不要直接删掉只读策略。

四个容易混淆的边界

相关问题

bind 只读会锁住原目录吗？

不会。经典的 remount,bind,ro 只作用于目标挂载点，原路径仍可写；要限制整个文件系统，需要另行设计文件系统级只读方案。

为什么只写 mount --bind -o ro 结果不稳定？

bind 与只读标志涉及挂载入口和文件系统层两个层面，旧式写法通常需要显式 remount。生产配置应明确写出目标路径，并用 findmnt 复查实际挂载选项。

小结

最小可靠流程是“--bind 建立第二入口、remount,bind,ro 限制目标、findmnt 确认边界、命名空间或 systemd 控制可见范围”。这样既保留源目录的正常写入能力，也让服务获得稳定的只读视图。