Linux open_tree怎样复制挂载树

如果你想把一个目录对应的挂载树先“拿在手里”，检查或调整之后再接到新的目录，Linux 的 open_tree() 就是 Mount API 中比较合适的入口。关键组合是 OPEN_TREE_CLONE | AT_RECURSIVE：前者创建一个脱离挂载点的 bind-like 挂载对象，后者把源路径下面的子挂载一并纳入；返回值是一个文件描述符，最后再交给 move_mount() 接到目标目录。

官方资料：https://www.man7.org/linux/man-pages/man2/open_tree.2.html

配套资料：https://www.man7.org/linux/man-pages/man2/move_mount.2.html

这篇文章只讨论“复制挂载树并接到目标目录”的调用关系，不把它扩展成完整容器运行时。示例适合在隔离的测试 mount namespace 中阅读；实际挂载变更通常需要 CAP_SYS_ADMIN，不要直接在生产根文件系统上照抄。

先理解 open_tree 复制的对象

open_tree() 有两种容易混淆的语义。没有 OPEN_TREE_CLONE 时，它更像一次返回 O_PATH 风格句柄的路径打开；加上 OPEN_TREE_CLONE 后，内核创建的是一个 detached mount object，可以理解为尚未接到文件系统位置上的 bind mount。这个对象由文件描述符持有。

如果只加 OPEN_TREE_CLONE，复制的是指定路径本身的挂载对象；再加 AT_RECURSIVE，才会把路径下的子挂载也纳入，语义上更接近 mount --rbind。因此，标题中的“挂载树”不是普通目录树，也不是把文件内容复制一份，而是复制挂载层级和其挂载引用。

用 OPEN_TREE_CLONE 和 AT_RECURSIVE 获取挂载树 FD

下面的 C 片段只保留最小调用。源路径使用绝对路径，AT_FDCWD 因此不会改变结果；把路径改成相对路径时，dirfd 应该是已经打开的目录描述符。OPEN_TREE_CLOEXEC 不是复制语义的一部分，但能避免文件描述符在后续 exec 中意外泄漏。

#define _GNU_SOURCE
#include 
#include 
#include 
#include 
#include 

int main(void) {
    // 递归复制 /srv/app 的挂载对象，并让返回 FD 在 exec 时自动关闭。
    unsigned int flags = OPEN_TREE_CLONE | AT_RECURSIVE | OPEN_TREE_CLOEXEC;
    int tree_fd = open_tree(AT_FDCWD, "/srv/app", flags);
    if (tree_fd == -1) {
        // errno 可能指向权限不足、路径不存在或内核/头文件能力不匹配。
        perror("open_tree");
        return 1;
    }

    // 此处的 FD 代表脱离挂载点的挂载树，后续可交给 move_mount。
    printf("detached mount tree fd=%d\\n", tree_fd);

    // 如果后续流程失败，未接入的挂载对象会随 FD 关闭而被清理。
    close(tree_fd);
    return 0;
}

这个 FD 不是普通文件。它可以作为后续 Mount API 的句柄，也可以按 O_PATH 风格用于部分 *at() 系统调用。若 open_tree() 成功但还没有执行 move_mount()，直接关闭 FD 会触发该 detached 对象的延迟清理；这正是失败路径需要保留的资源边界。

用 move_mount 接到目标目录

得到挂载树 FD 后，接入目标目录的关键是 MOVE_MOUNT_F_EMPTY_PATH。它告诉 move_mount()：源端的 from_dirfd 本身就是挂载对象，from_path 使用空字符串，不要再把源端当作路径解析。目标端仍然可以使用 AT_FDCWD 加绝对路径。

#define _GNU_SOURCE
#include 
#include 
#include 
#include 
#include 

int main(void) {
    // 源路径上的递归挂载树先脱离原位置。
    unsigned int clone_flags = OPEN_TREE_CLONE | AT_RECURSIVE | OPEN_TREE_CLOEXEC;
    int tree_fd = open_tree(AT_FDCWD, "/srv/app", clone_flags);
    if (tree_fd == -1) {
        perror("open_tree");
        return 1;
    }

    // 空源路径配合 F_EMPTY_PATH，让 tree_fd 成为 move_mount 的源对象。
    int rc = move_mount(tree_fd, "", AT_FDCWD, "/mnt/app",
                        MOVE_MOUNT_F_EMPTY_PATH);
    if (rc == -1) {
        // 失败时目标目录可能不存在、不是合适挂载点，或调用者缺少能力。
        perror("move_mount");
        close(tree_fd);
        return 1;
    }

    // 接入成功后关闭自己的 FD 引用，挂载对象不再因该 FD 单独销毁。
    close(tree_fd);
    return 0;
}

这里的“复制”与“接入”是两个动作：open_tree() 先产生可传递的 detached 对象，move_mount() 再决定它出现在哪个目标挂载点。把两者写成一个抽象步骤，排查失败时就很容易漏掉是源端复制失败还是目标端挂载失败。

常见失败边界怎么判断

还要注意符号链接处理：open_tree() 默认会按路径语义处理，若需要对符号链接本身建立句柄，应明确考虑 AT_SYMLINK_NOFOLLOW。自动挂载点则可以考虑 AT_NO_AUTOMOUNT，避免查询路径时触发不希望发生的自动挂载。

内核版本和权限不要混在一起排查

这组 file-descriptor-based mount facilities 不是传统 mount --bind 命令的简单别名。用户态头文件、libc 是否提供包装函数、正在运行的内核和当前命名空间都会影响结果。官方手册说明 open_tree() 属于 Linux Mount API，且 glibc 对某些扩展调用可能没有包装；因此不要只看到编译器找不到声明就断言内核不支持。

实际排查可以按三层拆分：

1. 编译层：确认包含 _GNU_SOURCE、 和 ，必要时按系统调用号使用 syscall()，但要重新核对结构体和常量定义。
2. 权限层：区分 EPERM 与路径错误，确认进程是否在允许挂载的 user/mount namespace 中。
3. 对象层：确认源路径是否包含子挂载、目标目录是否适合接入、FD 是否在失败路径关闭。

一句话总结

Linux 用 open_tree(源路径, OPEN_TREE_CLONE | AT_RECURSIVE) 把递归挂载树变成一个脱离挂载点的文件描述符，再用 move_mount(tree_fd, "", 目标目录, MOVE_MOUNT_F_EMPTY_PATH) 接入目标；需要整棵树就不要漏掉 AT_RECURSIVE，需要稳定失败清理就不要漏掉 close(fd)。

相关问题

open_tree 和 mount --rbind 是一回事吗？

复制范围上，OPEN_TREE_CLONE | AT_RECURSIVE 的效果接近递归 bind；但 Mount API 先返回 detached 对象和 FD，再由 move_mount() 决定接入位置，生命周期和组合方式不同。

只想拿路径句柄也能用 open_tree 吗？

可以。省略 OPEN_TREE_CLONE 时，返回值更接近 O_PATH 风格的路径句柄；这和创建 detached mount object 的用途要分开理解。

为什么 move_mount 常用空字符串？

因为 MOVE_MOUNT_F_EMPTY_PATH 允许源端直接使用 from_dirfd 指向的对象，避免把 detached mount FD 再转换成一个普通路径。

没有 CAP_SYS_ADMIN 能复制挂载树吗？

涉及 OPEN_TREE_CLONE 或把对象接入挂载点时，通常需要该能力。不要通过修改示例绕过权限模型，应在有明确授权的测试命名空间中验证。