如何在 Docker 容器之间安全高效地共享和复制文件

本文介绍通过 docker 共享卷（named volume）在多个容器间实现文件共享与复制的最佳实践，避免使用 `docker cp` 或复杂 api，兼顾安全性、可维护性与权限控制。

在 Docker 环境中，容器默认相互隔离，无法直接通过 PHP 的 copy() 函数（如 copy('/src/file.jpg', '/dst/file.jpg')）跨容器访问文件系统——因为每个容器的根文件系统是独立的。你遇到的 container 1 无法访问 container 2 中路径的问题，本质是进程视角下的路径不可达，而非网络或权限问题。

✅ 推荐方案：使用命名卷（Named Volume）作为共享存储中介
创建一个持久化、宿主机托管的命名卷，同时挂载到两个容器的相同路径下，使双方均可读写该目录。例如：

# 创建共享卷（仅需执行一次）
docker volume create filetransfer

# 启动 container-1（PHP 应用 A），挂载为可读写
docker run -d \
  --name app-uploader \
  -v filetransfer:/var/www/html/transfer:rw \
  -v $(pwd)/app1:/var/www/html:ro \
  php:8.2-apache

# 启动 container-2（PHP 应用 B），挂载为只读（推荐用于接收端，防误写）
docker run -d \
  --name app-site \
  -v filetransfer:/var/www/html/transfer:ro \
  -v $(pwd)/app2:/var/www/html:ro \
  php:8.2-apache

随后，在 container 1 的 PHP 代码中，将文件先复制到共享路径：

// container 1 中执行（上传方）
$source = '/var/www/html/uploads/test.jpg';
$sharedDest = '/var/www/html/transfer/test.jpg';

if (copy($source, $sharedDest)) {
    echo "File staged to shared volume.";
}

在 container 2 中，即可从同一路径读取（注意：因挂载为 :ro，不可写入）：

// container 2 中执行（接收方）
$sharedSrc = '/var/www/html/transfer/test.jpg';
$finalDest = '/var/www/html/site/uploads/test.jpg';

if (is_readable($sharedSrc) && copy($sharedSrc, $finalDest)) {
    echo "File copied from shared volume to local site.";
}

⚠️ 关键注意事项：

• 权限一致性：若两容器以不同 UID 运行（如 www-data:33 vs user:1001），需确保共享卷内文件可被双方读取。启动时可通过 --user 统一 UID，或在初始化脚本中 chown -R 33:33 /var/www/html/transfer。
• 并发安全：避免多容器同时写入同一文件。建议采用“单写多读”模式（即仅一个容器拥有 :rw 权限），或引入简单文件锁（如 flock + 临时 .lock 文件）。
• 不适用场景：docker cp 仅支持容器 ↔ 宿主机传输，无法直连两容器；而为单文件传输构建 REST API 属过度设计，增加运维复杂度与延迟。

? 进阶提示：对于频繁或大文件传输，可结合 inotifywait 监听共享卷变更，自动触发同步逻辑；生产环境建议将共享卷备份策略纳入整体数据治理方案。使用命名卷不仅解耦容器依赖，还天然支持 Docker Compose 编排（通过 volumes: 声明复用），是云原生应用间轻量级文件协作的标准范式。