必须在Dockerfile构建阶段显式创建非root用户并切换，如RUN groupadd -r appuser && useradd -r -g appuser -u 1001 appuser、COPY --chown=appuser:appuser、USER appuser，确保运行时主进程UID非0，并配合--user、--cap-drop、no-new-privileges等运行时加固措施。
镜像是静态只读模板，容器是其运行时的动态实例；非root用户启动容器，核心是在镜像构建阶段定义用户，并在运行时确保进程不以uid 0执行。
镜像中创建非root用户（Dockerfile关键步骤）
必须在构建镜像时显式创建低权限用户，不能依赖运行时临时指定。常见可靠写法：
- 用RUN groupadd -r appuser && useradd -r -g appuser -u 1001 appuser创建系统用户，固定UID避免与宿主机冲突
- 用COPY --chown=appuser:appuser确保应用文件归属该用户，防止启动时因权限拒绝失败
- 用USER appuser切换上下文，此指令后所有RUN、CMD、ENTRYPOINT均以该用户执行
- WORKDIR建议设为该用户有写权限的目录，例如WORKDIR /app并提前chown -R appuser:appuser /app
容器运行时验证与加固
镜像建好后，启动容器需确认实际生效，并进一步限制能力：
- 启动后执行docker exec -it myapp ps aux，检查主进程UID是否为1001而非0
- 运行时可追加--user 1001:1001强制覆盖镜像中USER指令（适合调试或灰度验证）
- 搭配--cap-drop=ALL --cap-add=NET_BIND_SERVICE丢弃默认能力，按需授权
- 启用--security-opt no-new-privileges阻止进程后续提权
非root用户操作Docker daemon的权限配置
如果要让普通用户能执行docker run等命令，需授权访问Docker socket：
- 创建docker组：sudo groupadd docker
- 将用户加入该组：sudo usermod -aG docker $USER（注意-aG不可省略）
- 重登终端或运行newgrp docker刷新组权限
- 验证：docker info | grep 'Security Options'应显示name=userns等隔离项
生产环境推荐组合策略
单一USER指令不够，需多层防护形成纵深：
- Dockerfile中固定UID/GID + COPY --chown + USER
- 运行时禁用特权：--privileged=false（默认即关闭，但显式声明更清晰）
- 挂载卷时用:ro标记只读，敏感路径如/etc、/proc不挂载
- Kubernetes场景下配合securityContext.runAsNonRoot: true和runAsUser: 1001
