构建时提示“权限不足”根本原因不是宿主机用户缺权限，而是镜像内文件归属或执行位缺失、基础镜像缺少必要工具、或构建阶段用户上下文不匹配；需按四场景处理：检查基础镜像是否含/bin/sh并补装工具、COPY时用--chmod=755显式赋权、将需root的操作置于USER指令前、禁用RUN中sudo。
构建时提示“权限不足”，通常不是宿主机用户缺权限，而是镜像内文件归属或执行位缺失、基础镜像缺少必要工具、或构建阶段用户上下文不匹配导致的。关键在明确“谁在执行什么”——是 run 命令失败？还是 copy 后的脚本无法被后续指令调用？下面从四个高频场景给出直接可落地的处理方式。
确认基础镜像是否自带 shell 和必要工具
精简镜像（如 alpine、distroless）默认不带 bash 或甚至不带 sh，RUN 指令会因找不到解释器而报“Permission denied”或“No such file or directory”。
- 检查基础镜像是否含 /bin/sh：在 Dockerfile 开头加 RUN ls -l /bin/sh || echo "/bin/sh missing"
- 若缺失，显式安装：alpine 镜像中用 RUN apk add --no-cache bash；再通过 SHELL ["bash", "-o", "pipefail", "-c"] 切换默认 shell
- 避免依赖未声明的工具：比如用 grep 前先 RUN apk add --no-cache grep（alpine）或 apt-get update && apt-get install -y grep（debian）
为 COPY/ADD 的文件显式赋权
COPY 和 ADD 默认不保留主机文件的执行位，脚本进镜像后常变成 644 权限，导致 RUN ./xxx.sh 失败。
- 推荐写法（Docker 20.10+）：COPY --chmod=755 script.sh /usr/local/bin/
- 兼容旧版写法：COPY script.sh /usr/local/bin/ && RUN chmod +x /usr/local/bin/script.sh
- 批量赋权也安全：RUN chmod +x /usr/local/bin/*.sh /app/entrypoint.sh
控制构建阶段的用户身份
某些命令（如 chown、systemctl、部分包管理器）需 root 权限才能运行；但若之前已 USER 切换，后续 RUN 就会失败。
- 把需要 root 权限的操作放在 USER 指令前，例如创建用户、安装软件、设权限
- 非必须操作不要提前 USER：避免 USER nonroot 后紧接 RUN chown ...
- 如确需中途切用户，可用 RUN --user=root chown appuser:appgroup /app（BuildKit 支持）
避免误用 sudo，优先用 root 上下文
Docker 构建默认以 root 执行所有 RUN 指令，不需要也不该在 RUN 中写 sudo——这反而会因容器内无 sudo 包而失败。
- 删掉所有类似 RUN sudo apt-get install ... 的写法，直接写 RUN apt-get install ...
- 若基础镜像真的没 root 权限（极少见），检查是否误用了 user namespace 构建，应禁用：docker build --security-opt=no-new-privileges=false ...
- 仅当构建需模拟最终运行态（如测试非 root 用户能否安装）时，才显式 USER root 切回
