核心三步：创建固定UID用户、COPY时用--chown设归属、USER指令置于root操作之后；顺序错误会导致启动失败或权限异常。
直接在 Dockerfile 中配置非 root 用户运行，核心就三步：创建用户、设置文件归属、最后用 USER 切换。顺序不能错，否则会因权限问题导致启动失败或写入报错。
创建确定 UID/GID 的非 root 用户
避免使用随机 UID，优先指定固定值（如 1001），防止挂载卷时与宿主机权限冲突。不同系统推荐命令如下：
- Debian/Ubuntu 系：RUN adduser --disabled-password --gecos '' --uid 1001 appuser
- Alpine/CentOS 系：RUN addgroup -g 1001 -f appgroup && adduser -S -u 1001 -G appgroup appuser
- 若镜像已自带非 root 用户（如
node镜像含node用户），可直接复用，查清其 UID/GID 再使用
确保应用文件归属正确
复制代码和依赖后，必须把整个应用目录属主设为新建用户，否则容器启动时可能无法读取配置、写日志或缓存。
- 推荐在 COPY 或 ADD 后立即执行：RUN chown -R appuser:appgroup /app
- 更简洁的方式是 COPY 时直接带归属：COPY --chown=appuser:appgroup . /app
- 工作目录也要提前建好并赋权：RUN mkdir -p /app && chown appuser:appgroup /app
在合适时机执行 USER 指令
USER 必须放在所有需要 root 权限的操作之后——比如安装依赖（apt、pip）、解压、修改系统配置等。它只影响其后的 RUN、CMD、ENTRYPOINT，不改变之前文件的所有者。
- ✅ 正确顺序：COPY ... → RUN chown ... → USER appuser → CMD ["./start.sh"]
- ❌ 错误示例：USER appuser 放在
RUN apt update前，会导致安装失败 - 多阶段构建中，仅最终运行阶段需设 USER；构建阶段仍可用 root 安装依赖
验证与兜底措施
构建完别急着上线，先快速验证是否真以非 root 运行：
- 运行容器并检查进程 UID：docker run --rm your-image ps -eo uid,comm | head -n 2，看 UID 是否为 1001 而非 0
- 在启动脚本开头加防护：if [ "$(id -u)" = "0" ]; then echo "ERROR: Must not run as root"; exit 1; fi
- Docker Compose 中可加 user: "1001:1001" 强制覆盖，作为部署层兜底
