adduser -D myuser 在 Alpine 中失败，因默认不含 adduser（属 shadow 包），且 -D 参数不被支持；/opt/app 未真实创建导致 chown 失败；用户组缺失引发权限异常。
必须显式创建用户并提前赋权，不能依赖 WORKDIR 自动建目录或用 adduser 在 Alpine 等镜像中直接调用。
为什么 adduser -D myuser 会失败？
常见错误现象：The command '/bin/sh -c adduser -D myuser && chown -R myuser /opt/app' returned a non-zero code: 2。根本原因有三个：
-
adduser不是所有基础镜像都自带：Alpine 用adduser，Debian/Ubuntu 系（包括eclipse-temurin默认镜像）用useradd；混用直接报错 -
/opt/app此时还不存在：WORKDIR /opt/app只是声明路径，不创建目录；chown对空路径失败 - 用户组缺失导致权限不足：比如日志写入、临时文件创建失败，但错误常被 JVM 吞掉，只表现为启动卡住或 500 错误
USER 指令前必须确保目录可写且用户存在
正确顺序是：先建目录 → 再建用户 → 再改所有权 → 最后切用户。推荐写法（适配 eclipse-temurin、amazoncorretto 等主流 JDK 镜像）：
FROM eclipse-temurin:17-jre-jammy # 显式创建工作目录（关键！） RUN mkdir -p /app # 创建系统用户（-r），指定 UID 避免权限冲突（-u 1001） RUN useradd -r -u 1001 -g root appuser # 赋权：用户+组双归属，覆盖目录及未来写入点 RUN chown -R appuser:root /app WORKDIR /app COPY target/myapp.jar . # 切换用户（必须在 COPY 之后，否则 jar 文件属主仍是 root） USER appuser:root EXPOSE 8080 ENTRYPOINT ["java", "-Djava.security.egd=file:/dev/./urandom", "-jar", "myapp.jar"]
注意点：
立即学习“Java免费学习笔记（深入）”；
java-api-doc-generator
下载
分析 Java Spring Boot 后端 Controller 代码，自动生成 Markdown 格式的接口文档。当用户说“生成 Java 接口文档”、“生成 API 文档”、“从 Spring 代码生成文档”时触发。
- 不用
addgroup单独建组：直接用root组更通用，避免 Alpine 和 Debian 组机制差异 - UID 固定为
1001：Kubernetes 默认以该 UID 运行非 root 容器，提前对齐可省去 PodSecurityContext 配置 -
ENTRYPOINT不用CMD：避免 shell 形式启动绕过用户上下文（如CMD ["sh", "-c", "java ..."]会导致进程实际以 root 启动）
Alpine 镜像要单独处理 adduser 和 libc 兼容性
如果坚持用 openjdk:17-jre-alpine，adduser 存在但默认不带 -D 参数，且 musl libc 可能导致某些 JNI 库加载失败。安全写法：
FROM openjdk:17-jre-alpine
RUN apk add --no-cache shadow && \
adduser -D -u 1001 -G root appuser && \
mkdir -p /app && \
chown -R appuser:root /app
WORKDIR /app
COPY target/myapp.jar .
USER appuser:root
ENTRYPOINT ["java", "-Djava.security.egd=file:/dev/./urandom", "-jar", "myapp.jar"]
关键差异：
- 必须先
apk add shadow：Alpine 默认不含adduser命令，它属于shadow包 - 去掉
-D：Alpine 的adduser不支持该参数，用-D会静默忽略或报错 - 避免
-r：Alpine 中useradd -r会创建 UID
验证是否真以非 root 运行
构建后别急着上线，先本地验证：
- 运行容器并进 shell：
docker run -it --rm your-image sh，执行id，输出应为uid=1001(appuser) gid=0(root) groups=0(root) - 检查进程 UID：
ps aux | grep java，USER 列应显示appuser，不是root - 尝试写文件：
touch /app/test.tmp应成功；若失败，说明chown没生效或路径不对
最容易被忽略的是：JVM 启动参数里加了 -Djava.io.tmpdir=/tmp，而 /tmp 默认属 root 且无写权限——这种问题不会报错，只会让应用在运行时随机抛 IOException，得手动 chown 或改路径。
