在 Dockerfile 中安全配置非 root 用户需三步：先创建固定 UID（如 1001）的用户，再用 COPY --chown 或 chown 确保应用文件归属该用户，最后在所有 root 操作完成后执行 USER 切换。
直接在 Dockerfile 中定义非 root 用户运行环境，核心是三件事：创建确定 UID 的用户、让应用文件归属该用户、最后用 USER 切换过去。顺序不能颠倒，否则容器可能启动失败或运行时报权限错误。
创建固定 UID/GID 的非 root 用户
避免用随机 ID，优先指定固定值（比如 1001），防止挂载卷时和宿主机用户权限冲突。不同基础镜像命令略有差异：
- Debian/Ubuntu 系：RUN adduser --disabled-password --gecos '' --uid 1001 appuser
- Alpine/CentOS 系：RUN addgroup -g 1001 -f appgroup && adduser -S -u 1001 -G appgroup appuser
- 如果基础镜像已带非 root 用户（如 node:alpine 的 node 用户），查清它的 UID/GID 后可直接复用，不用重复建
COPY 时同步设置文件归属
复制代码后，必须确保整个应用目录对新建用户可读写，否则启动时可能无法加载配置、写日志或缓存。最稳妥的方式是在 COPY 指令里直接指定归属：
- COPY --chown=appuser:appgroup . /app
- 配套提前建好目录并赋权：RUN mkdir -p /app && chown appuser:appgroup /app
- 不推荐依赖后续 RUN chown -R，因为层缓存可能导致实际没生效
在 root 操作完成后执行 USER 指令
USER 只影响它之后的 RUN、CMD、ENTRYPOINT，不会改变之前文件的所有者。所以必须放在所有需要 root 权限的操作之后：
- ✅ 正确顺序：RUN apt-get update && apt-get install -y curl → COPY --chown=appuser:appgroup . /app → USER appuser → CMD ["./start.sh"]
- ❌ 错误示例：USER appuser 放在 RUN apt-get 前，会导致安装失败
- 多阶段构建中，只在最终运行阶段设 USER；构建阶段仍可用 root 安装依赖
验证是否真正以非 root 运行
构建完别急着上线，快速验证一下：
- 运行容器并检查进程 UID：docker run --rm your-image ps -eo uid,comm | head -n 2，看 UID 是否为 1001 而非 0
- 在启动脚本开头加防护：if [ "$(id -u)" = "0" ]; then echo "ERROR: Must not run as root"; exit 1; fi
- Docker Compose 中可用 user: "1001:1001" 强制覆盖，作为部署层兜底
