在Docker容器里运行PHP应用时，调用mkdir()函数创建目录却收到权限被拒绝的错误，是部署过程中很常见的权限类问题，这类问题本质多是容器内的操作权限和目录的访问控制规则不匹配导致的。
问题出现的常见场景
通常这类问题会在以下场景中出现：
- PHP应用需要动态生成缓存目录、上传文件目录时调用mkdir()
- Docker容器挂载了宿主机的目录作为应用的数据目录
- 容器内PHP进程的运行用户和挂载目录的所有者不一致
核心原因分析
1. 容器运行用户与目录所有者不匹配
默认情况下，很多PHP基础镜像的PHP进程是以www-data用户运行的，而如果挂载的宿主机目录所有者是root用户，或者目录的权限设置为只有所有者可写，就会出现权限不足的问题。
2. 目录本身没有写权限
即使所有者匹配，如果目标目录的权限位没有开放写权限，比如权限是755，非所有者用户也没有写权限，同样会触发mkdir()权限拒绝错误。
3. SELinux或宿主机安全策略限制
部分开启了SELinux的宿主机系统，会对Docker挂载的目录有额外的安全上下文限制，即使目录权限看起来正常，容器内的进程也无法写入。
完整解决方案
方案一：调整宿主机挂载目录的权限
首先可以检查宿主机上挂载目录的权限，执行以下命令查看目录所有者和权限：
# 查看宿主机挂载目录的权限和所有者 ls -ld /path/to/your/host/dir
如果目录所有者是root，而容器内PHP进程是www-data用户，可以修改目录所有者为www-data，或者开放目录的写权限给所有用户：
# 修改目录所有者为www-data（需要宿主机存在该用户） sudo chown -R www-data:www-data /path/to/your/host/dir # 或者临时开放目录写权限（测试用，生产环境不推荐） sudo chmod -R 777 /path/to/your/host/dir
方案二：自定义Docker镜像的运行用户
可以在Dockerfile中指定PHP进程的运行用户，让容器内的用户和宿主机目录的所有者保持一致，比如宿主机目录所有者是id为1000的用户，可以在Dockerfile中这样配置：
FROM php:8.2-fpm # 创建和宿主机用户id一致的用户 RUN useradd -u 1000 -g www-data appuser # 切换应用目录所有者 RUN chown -R appuser:www-data /var/www/html # 切换到自定义用户运行PHP进程 USER appuser
方案三：运行时指定用户参数
如果不需要重新构建镜像，也可以在启动Docker容器时，通过-u参数指定容器内进程的运行用户，和宿主机目录所有者id对应：
# 启动容器时指定用户id为1000，组id为1000 docker run -d -v /path/to/host/dir:/var/www/html -u 1000:1000 your_php_image
方案四：处理SELinux限制
如果宿主机开启了SELinux，需要给挂载的目录添加对应的SELinux上下文，允许Docker容器写入：
# 给挂载目录添加容器可写的SELinux上下文 sudo chcon -Rt svirt_sandbox_file_t /path/to/your/host/dir
验证解决效果
修改配置后，可以进入容器执行简单的PHP代码测试mkdir()是否正常工作：
<?php
// 尝试创建测试目录
$dir = '/var/www/html/test_dir';
if (mkdir($dir, 0755, true)) {
echo "目录创建成功";
} else {
echo "目录创建失败";
}
如果输出目录创建成功，说明权限问题已经解决。生产环境中建议优先使用调整目录所有者、匹配容器运行用户的方式，避免使用777这种开放所有权限的设置，降低安全风险。