在Dockerfile中用USER指令强制业务进程以非特权身份运行，核心是“先建用户、再赋权、后切换”，且切换时机必须在文件复制和依赖安装完成之后，否则容器启动会因权限不足失败；需按基础镜像类型选用adduser或useradd -S创建指定UID用户，配合--chown或chown确保目录权限归属，最后通过id命令或启动脚本校验运行身份。
在Dockerfile中用USER指令强制业务进程以非特权身份运行，核心是“先建用户、再赋权、后切换”，且切换时机必须在文件复制和依赖安装完成之后。否则容器启动会因权限不足失败。
创建专用用户和组，避免UID冲突
不同基础镜像对用户创建命令支持不同，需按系统类型选择：
- Debian/Ubuntu系（推荐adduser）：
RUN adduser --disabled-password --gecos '' appuser - Alpine/CentOS系（推荐useradd -S）：
RUN addgroup -g 1001 appgroup && adduser -S appuser -u 1001 -G appgroup - 强调指定UID（如1001）：防止多服务共用nobody等通用低权限用户，降低横向越权风险
提前设置目录权限，确保用户可读写
应用代码、配置、日志路径等必须归属目标用户，否则切换后进程无法访问：
- 创建应用目录并赋权：
RUN mkdir -p /app && chown appuser:appgroup /app - COPY时直接指定所有者（推荐，更简洁）：
COPY --chown=appuser:appgroup . /app - 若需临时提权执行初始化（如生成证书），可在USER前加RUN指令，但完成后必须切回非root
正确放置USER指令，控制作用范围
USER影响其后所有RUN、CMD、ENTRYPOINT的执行身份，因此顺序不能错：
- ✅ 正确流程：
COPY --chown=appuser:appgroup . /app
RUN npm install --production
USER appuser:appgroup
WORKDIR /app
CMD ["node", "server.js"] - ❌ 错误示例：
USER appuser
COPY . /app ← 此处COPY将以appuser身份执行，大概率失败
验证是否真正生效
构建后别只看Dockerfile，要实测运行时身份：
- 快速检查：
docker run --rm your-image id → 输出应为 uid=1001(appuser) gid=1001(appgroup) - 启动脚本中加防护（防配置遗漏）：
if [ "$(id -u)" = "0" ]; then echo "FATAL: running as root"; exit 1; fi - Docker Compose中可兜底：
services:
app:
image: your-image
user: "1001:1001"
