普通用户需加入docker组并重新登录（或执行newgrp docker）才能免sudo运行docker命令；若仍报权限错误，需检查/var/run/docker.sock权限是否为srw-rw----且属组docker，必要时修复权限并重启docker服务。
普通用户不能直接运行 docker 命令，是因为 docker 守护进程通过 unix socket（/var/run/docker.sock）通信，该文件默认属主为 root:docker，权限是 srw-rw----。只要让当前用户属于 docker 组，就能获得访问权限，从而免 sudo 执行命令。
把用户加入 docker 组（最常用方式）
这是绝大多数 Linux 发行版（Ubuntu、Debian、CentOS、Fedora 等）的标准做法：
- 确认
docker组已存在：Docker 官方包安装后通常会自动创建；若不存在，运行sudo groupadd docker - 将当前用户加入该组：
sudo usermod -aG docker $USER - 使组变更生效：退出终端重新登录；或当前会话临时切换：
newgrp docker - 验证是否成功：
docker run hello-world—— 不报permission denied即表示配置完成
检查并修复 socket 权限（排查常见失败）
有时即使加入了 docker 组仍报权限错误，可能因 socket 文件权限异常或守护进程未重载组信息：
- 检查 socket 权限：
ls -l /var/run/docker.sock，正常应显示srw-rw---- 1 root docker - 若组权限缺失（如显示
root:root），可临时修复：sudo chown root:docker /var/run/docker.sock和sudo chmod 660 /var/run/docker.sock - 重启 Docker 服务确保组策略加载：
sudo systemctl restart docker
启用 Rootless 模式（更安全的替代方案）
如果你担心 docker 组等同于高权限风险（例如容器可通过 -v /:/host 提权），推荐使用 Rootless 模式：
- 前提条件：Linux 内核 ≥ 4.18，已安装
uidmap工具（如 Ubuntu 上运行sudo apt install uidmap） - 卸载系统级 Docker（可选），然后安装 Rootless 版本：
curl -fsSL https://get.docker.com/rootless | sh - 按提示设置环境变量（如
export PATH=$HOME/bin:$PATH），并启动：systemctl --user start docker - 此时
docker命令完全无需sudo，所有操作隔离在用户空间
不复杂但容易忽略的是：加组之后必须重新登录或执行 newgrp，否则权限不会立即生效。
