Go容器必须以非root用户运行，USER指令仅在最终运行阶段（如FROM alpine或distroless之后）、COPY --from=builder之后且CMD之前设置，推荐固定使用USER 65535:65535以避免系统用户冲突并明确表达非特权语义。
Go容器必须以非root用户运行，否则在Kubernetes中会被PodSecurityPolicy或Pod Security Admission拒绝，且静态二进制本身不依赖特权，强行用root纯属放大攻击面。
USER 指令写在哪一阶段？
只在最终运行阶段（FROM alpine 或 distroless 之后）设置 USER，构建阶段（golang 镜像）仍需 root 权限执行 go build 和模块下载；若在构建阶段提前加 USER，大概率触发 permission denied 或 cannot find module 错误。
-
USER必须放在COPY --from=builder之后、CMD之前 - 避免使用
USER root或留空（默认即 root） - 不要用
USER nobody：该用户在 Alpine 中 UID 为 65534，但部分 distroless 镜像未定义该用户名，应直接用数字 UID/GID
选哪个 UID/GID 最安全？
推荐固定使用 USER 65535:65535，而非 1001 或 nobody。65535 是 Linux 用户 ID 的最大无符号 16 位值，在绝大多数发行版中既不会与系统用户冲突（/etc/passwd 通常只到 1000），又明确表达“非特权”语义。
- Alpine 默认没有 UID 65535 的用户，但
USER指令只校验数字合法性，不查 /etc/passwd - distroless 镜像（如
gcr.io/distroless/static-debian12）同样接受该 UID，且不带 shell，无法提权 - 避免用
USER 0（root）、USER 1（daemon）等低数值 ID，防止意外匹配系统保留用户
非root下常见失败场景及修复
即使设了 USER 65535:65535，Go 应用仍可能启动失败，典型错误包括：bind: permission denied（端口 open /tmp/xxx: permission denied（写临时目录）、mkdir /var/log: permission denied（写日志路径）。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
- 监听端口必须 ≥1024，例如
:8080而非:80；Kubernetes 可通过 Service 的targetPort映射回 80 - 避免硬编码
/tmp或/var/log，改用os.TempDir()（它会自动 fallback 到$HOME或/tmp，而HOME=/时需显式设ENV HOME=/tmp） - 若应用依赖
ca-certificates（如调用 HTTPS 接口），Alpine 镜像需RUN apk --no-cache add ca-certificates，且证书目录权限对 UID 65535 可读（默认满足）
distroless 镜像下如何验证 USER 生效？
distroless 镜像不含 sh 或 ps，不能 docker exec -it xxx sh 查看进程 UID。正确验证方式是：
- 运行容器后，用
kubectl top pod确认资源归属（虽不显示 UID，但可排除 root 占用） - 在 Go 应用启动时加一行日志：
log.Printf("running as uid=%d, gid=%d", os.Getuid(), os.Getgid()) - 用
docker inspect查Config.User字段是否为"65535:65535"，这是镜像层面的声明，比运行时更可靠
真正容易被忽略的是：非root只是最小权限的第一步，还需配合 CGO_ENABLED=0、-ldflags "-s -w"、.dockerignore 过滤敏感文件——否则即便 UID 正确，镜像里仍可能塞着私钥或调试符号。
