Docker Compose 怎样为开发服务挂载只读目录

开发容器通常需要读取宿主机源码、配置或静态资源，但不应该因为一次错误写入就改坏工作区。Docker Compose 的做法是把挂载写成长语法，在服务的 volumes 条目中加入 read_only: true；日志、缓存等确实需要写入的目录另行挂载为可写路径。

官方地址：https://docs.docker.com/reference/compose-file/services/

一、先确定只读挂载的目录边界

先把开发服务需要读取的内容和必须写入的内容分开。例如源码目录只用于编译或热加载，应该保护宿主机文件；应用日志、构建缓存和运行时上传目录则不能跟着源码一起只读。Docker 官方把 bind mount 描述为宿主机路径与容器路径的直接连接，默认具备写权限，所以不能只凭“开发环境”这个名称判断安全边界。

二、在 Compose 服务中打开 read_only

进入项目目录，打开 compose.yaml，定位目标服务的 volumes。长语法更适合教程和团队协作，因为每个字段的含义清楚，也能避免短语法中冒号和平台路径混在一起。

services:
  web:
    image: nginx:alpine
    volumes:
      # 源码目录只给容器读取，保护宿主机工作区
      - type: bind
        source: ./src
        target: /usr/share/nginx/html
        read_only: true
      # 日志单独放到可写目录，避免应用因无法写日志退出
      - type: bind
        source: ./runtime/logs
        target: /var/log/nginx
        read_only: false

保存后先运行配置解析，再启动服务。下面的命令只负责检查 Compose 文件和创建容器，不把检查结果误当成线上运行证据。

# 在 compose.yaml 所在目录执行，先确认配置能被 Compose 读取
docker compose config

# 配置无误后后台启动 web 服务
docker compose up -d web

在 Docker Desktop 的项目面板中，可沿“Projects → 当前项目 → web → Inspect/Mounts”查看挂载说明。生成图中的菜单、按钮和字段只是帮助定位界面的原创示意。

三、启动后核对 RW=false

Compose 能解析配置，只说明文件格式正确；真正的权限状态还要看容器挂载信息。把下面命令中的服务容器名替换成实际名称，重点查看 Mounts 中对应目标路径的 RW 字段。

# 读取 Mounts，筛选容器内目标路径和读写标记
docker inspect  \
  --format '{{range .Mounts}}{{println .Destination .RW .Mode}}{{end}}'

# 预期：源码目标路径对应 false 或 ro；日志目标路径对应 true

如果应用只读取 /usr/share/nginx/html，它应该能够正常启动；如果某个进程尝试在该目录创建文件，写入会失败。这个失败是权限边界生效的信号，不要为了消除它把整个源码挂载改回可写，而应把真正的临时文件路径拆出来。

四、路径和写入目录的常见误区

还要注意远程 Docker daemon 和 Docker Desktop 的路径差异：bind mount 作用于 daemon 所在主机，客户端本地存在的目录不一定能直接挂载。开发团队如果切换运行环境，应把目录结构和 Compose 文件一起作为前置条件记录。

相关问题

能不能用短语法写只读挂载？

可以使用 ./src:/usr/share/nginx/html:ro，但长语法更适合表达字段和边界，团队项目优先选择长语法。

read_only: true 会让整个容器都不可写吗？

不会，它只作用于当前 volumes 挂载条目。容器自身可写层和其他挂载仍按各自配置工作。

为什么改成只读后开发服务报错？

通常是应用把日志、缓存或临时文件写进了源码目录。把这些运行时目录拆成独立的可写挂载，再重新核对 RW。