WORKDIR设置工作目录，USER指定运行用户；二者需协同配置：WORKDIR定义操作路径，USER限定执行身份，配合--chown或chown确保文件归属与权限匹配，实现最小权限安全运行。
WORKDIR 和 USER 是 Dockerfile 中两个看似简单、实则影响深远的指令。它们不直接处理网络或进程隔离，但共同决定了容器内文件归属、路径权限和运行上下文——这正是权限安全落地的关键环节。
WORKDIR 影响的是“在哪操作”，不是“以谁身份操作”
WORKDIR 设置的是后续 RUN、CMD、ENTRYPOINT 的工作目录，但它本身不改变用户权限。它的安全意义在于：如果未显式设置，命令会在根目录 / 下执行；而很多镜像默认以 root 运行，这就可能导致在 / 下创建文件、留下残留配置或覆盖系统路径。
- 推荐始终显式声明 WORKDIR，比如 WORKDIR /app 或 WORKDIR /home/appuser
- 若配合非 root 用户使用，WORKDIR 路径必须对该用户可读写，否则 CMD 或 ENTRYPOINT 会因权限拒绝而失败
- 避免设为 /tmp、/var/run 等系统临时目录——这些位置可能被其他进程共享，也容易引发权限冲突
USER 决定“以谁身份执行”，是权限控制的核心开关
USER 指令切换的是后续所有指令（包括 CMD 和 ENTRYPOINT）的执行身份。它不能单独起效，必须与用户存在性、文件归属、路径权限协同设计。
- 用户必须在镜像中已存在，通常用 RUN adduser -u1001 appuser 或 useradd -r -u1001 appuser 创建
- 建议使用固定 UID（如 1001），便于宿主机挂载卷时权限对齐，避免出现 “nobody:nogroup” 写入问题
- 不要在 USER 之后再执行需要 root 权限的操作（如 apt install、chown），否则会报错“Permission denied”
WORKDIR + USER 必须配合文件所有权设置
即使指定了 USER appuser，如果 COPY 或 ADD 进来的文件仍属于 root，该用户依然无法执行或修改它们。
- 优先使用 COPY --chown=appuser:appuser . /app，一步完成复制与授权
- 若已复制完成，补上 RUN chown -R appuser:appuser /app，确保整个应用目录归属正确
- WORKDIR 路径本身也要可进入：比如设为 WORKDIR /home/appuser，就得先 RUN mkdir -p /home/appuser && chown appuser:appuser /home/appuser
典型安全组合写法（推荐直接复用）
以下是一个生产就绪的最小闭环示例：
FROM alpine:latest
RUN addgroup -g 1001 -n appgroup && \
adduser -u 1001 -D -s /bin/sh -G appgroup appuser
WORKDIR /app
COPY --chown=appuser:appgroup . /app
RUN chown -R appuser:appgroup /app
USER appuser:appgroup
CMD ["sh", "-c", "exec node server.js"]
这个结构确保：用户存在、路径明确、文件归属清晰、运行身份受限、启动命令无 root 依赖。
