Docker --mount 路径含逗号，报 unexpected key

宿主机目录名中有逗号，docker run --mount 在容器创建前就报参数错误，例如：

unexpected key 'name' in 'name=data'

假设源目录是 /srv/share,name=data。即使把整个挂载参数用 shell 引号包起来，Docker 仍会把里面的逗号当作字段分隔符，把 name=data 当成一个不认识的挂载选项。

这需要同时处理 shell 参数和 --mount 的 CSV 字段。以下语法限定 POSIX sh、Bash 等 shell 与 Docker CLI，按 v28.5.1 的解析规则核对；PowerShell 和 CMD 的引号规则应单独处理。

shell 引号只能先保住一个参数

下面的写法仍有问题，只用于说明：

--mount 'type=bind,src=/srv/share,name=data,dst=/work,readonly'

外层单引号使 shell 把整段值交给 Docker。随后 Docker 继续按 CSV 读取它，得到 type=bind、src=/srv/share、name=data 等字段。第三个字段便导致 unexpected key。

如果逗号后只有普通字符、没有等号，错误也可能是 invalid field ... must be a key=value pair。具体文字取决于被拆开的内容，不能看到不同报错就忽略路径中的逗号。

给逗号前面加反斜杠不是这套 CSV 格式的通用转义。仅把路径值写成 src="..." 也不等于引用整个 CSV 字段，可能引出新的引号解析错误。

要让逗号留在源路径中，CSV 这一层应引用整个 src=... 字段。外层 shell 单引号保留其中的英文双引号：

--mount 'type=bind,"src=/srv/share,name=data",dst=/work,readonly'

此时 Docker 得到的源路径才是 /srv/share,name=data。这里单引号和双引号各负责一层解析，不能换成中文引号，也不要再通过 eval 增加一轮解析。

完整的测试命令可以这样组织：

docker run --rm \
  --mount 'type=bind,"src=/srv/share,name=data",dst=/work,readonly' \
  approved-image:known-good

approved-image:known-good 是占位值，须换成已批准、启动行为已知的测试镜像，并保留实际需要的测试命令。源目录须事先存在且不含敏感资料；不要用未知镜像读取业务目录。readonly 阻止通过该挂载写入源目录，但不会限制镜像读取文件或执行其他启动行为。

上述例子是字面路径。使用变量构造 CSV 时，还要处理变量中的双引号等字符，不能简单把任意路径插进例子后就认为已经正确编码。生成脚本应保留参数边界，并按 CSV 规则形成字段。

unexpected key 消失只说明该阶段的字段解析通过。若接下来报 bind mount source path does not exist，继续核对 daemon 所在主机、源路径是否存在，以及相关挂载是否对 daemon 可见。

连接远程 Docker 时，本机存在这个目录并不能证明远端也存在。桌面会话中的 FUSE 或 gvfs 挂载还可能有另一层可见性和权限问题，不能为了修复 CSV 格式直接放宽目录权限。

也不要把 -v 当成处理所有特殊路径的替代方案。它使用冒号分隔源、目标和选项，路径同时含冒号时可能遇到另一种解析歧义。路径只有空格、问题发生在 shell 参数分割时，可以看挂载路径的 shell 引号；那种修正不能替代这里的 CSV 引用。

在测试环境确认容器实际读取到 /work 中预期的测试文件，再将参数修正带回原启动脚本。保留原命令文本和必要的数据备份；改回命令文本不会撤销修正后运行容器所产生的其他数据变化。