COPY 指令需配合 --chown 参数和 USER 指令落实最小权限原则：先用 RUN 添加专用用户，再用 --chown 设定文件属主，最后用 USER 切换运行身份；多阶段构建中须用 --chown 确保产物归属目标用户，且目标用户必须预先存在、组名匹配、UID/GID 保持一致。
COPY 指令本身不自动确保安全，但配合 --chown 参数和合理用户管理，就能在构建阶段就落实最小权限原则，避免运行时因权限问题导致崩溃或提权风险。
明确指定文件归属，杜绝 root 默认权限
默认 COPY 会把所有文件设为 root:root，这对以非 root 用户运行的应用（如 Node.js、Nginx）极不友好。用 --chown 可一步到位设定正确属主：
- COPY --chown=www-data:www-data ./html /var/www/html —— 静态资源归 web 服务用户所有，确保可读
- COPY --chown=1001:1001 ./config.yaml /etc/app/config.yaml —— 使用 UID/GID 更稳定，跨镜像兼容性好
与 USER 指令协同，形成权限闭环
仅改文件归属不够，还需让应用进程以对应用户身份运行。二者配合才完整：
- 先创建专用用户：RUN adduser --system --shell /bin/false appuser
- 复制并赋权：COPY --chown=appuser:appuser ./src /app
- 切换执行上下文：USER appuser
多阶段构建中安全传递产物
构建阶段常需编译工具链，但最终镜像不应包含这些。用 --chown 确保跨阶段复制的文件仍归属目标用户：
- COPY --from=builder --chown=nonroot:nonroot /app/myapp /usr/local/bin/
- 避免产物继承 builder 阶段的 root 权限，防止运行时意外提权
避开常见权限陷阱
几个关键点决定 --chown 是否真正生效：
- 目标用户必须已在镜像中存在，否则构建失败（不能只写名字，得提前 RUN useradd）
- 组名要匹配，比如 nginx 官方镜像用的是 nginx 组，不是 www-data
- 不要混用用户名和 UID：同一镜像内保持命名或数字 ID 一致，减少环境差异
