Docker 容器以非 root 用户运行，需在 Dockerfile 中创建固定 UID 用户、设置文件归属并用 USER 指令切换。适合生产环境安全加固，风险边界在于挂载卷权限冲突和 1024 以下端口绑定限制。

命令速用版

FROM python:3.11-slim
RUN useradd -u 1001 -m appuser
WORKDIR /app
COPY `--chown`=appuser:appuser . /app
USER appuser
CMD ["python", "app.py"]

为什么会这样

Docker 默认以 root 运行是为了方便操作内核资源，但容器逃逸会导致宿主机权限失控。非 root 运行利用 Linux 用户权限机制，限制进程对系统文件的访问能力，即使应用被入侵，攻击者也无法获取宿主机 root 权限。

分步处理

第一步：创建固定 UID 用户

在 Dockerfile 早期使用 adduser 或 useradd 创建用户，必须指定 UID（如 1001），防止随机 ID 导致挂载卷权限错乱。Debian 系推荐 adduser，Alpine 系推荐 adduser -S。

第二步：设置文件归属

复制代码后，必须确保应用目录对新建用户可读写。推荐在 COPY 指令中使用 `--chown` 参数直接指定属主，避免后续 RUN chown 因层缓存失效。

第三步：切换用户指令

USER 指令必须放在所有需要 root 权限的操作（如 apt-get install）之后。USER 只影响其后的 RUN、CMD、ENTRYPOINT，不会改变之前文件的所有者。

怎么验证是否生效

容器启动后，执行 docker exec <容器 ID> id 查看当前用户 ID，确认 uid 不为 0。或在启动脚本开头添加防护逻辑，当检测到 uid 为 0 时直接退出报错。

常见坑

• 端口限制：非 root 用户默认无法绑定 1024 以下端口，需改用高位端口或添加 NET_BIND_SERVICE 能力
• 挂载卷权限：宿主机目录需提前 chown 给对应 UID，否则容器内写入会报 Permission denied
• 指令顺序：USER 放在 apt install 之前会导致安装失败，必须确保 root 操作完成后切换

常见问题

容器启动后报错 Permission denied 怎么办

通常是挂载目录权限不足。检查宿主机目录属主是否匹配容器内用户 UID，需在宿主机执行 chown -R 1001:1001 /data 修正。

可以直接在 docker run 时指定用户吗

可以。使用 docker run `--user` 1001:1001 参数能临时覆盖镜像定义，但建议固定在 Dockerfile 中以确保一致性。

非 root 用户无法安装依赖怎么处理

需在 USER 指令之前完成所有依赖安装。若运行时需动态安装，应保留 root 权限或使用多阶段构建将依赖打入镜像。