Docker ADD命令--chown参数未生效问题排查

问题背景 #

构建Flutter开发环境Docker镜像时，遇到ADD命令的--chown参数未按预期生效的问题：切换到非root用户flutter_dev后，使用ADD --chown=flutter_dev:flutter_dev将Android Studio压缩包添加到/tmp目录，运行容器后发现解压后的文件所有者仍为root，而非指定的flutter_dev。已尝试用用户ID（1001）替代用户名，结果一致。当前Docker版本为27.3.1，改用COPY配合手动解压的方式可以实现权限设置，但希望明确ADD命令失效的原因。

原Dockerfile代码：

FROM eclipse-temurin:17-noble
SHELL ["/bin/bash", "-c"]

#create a non-root user and use it
RUN useradd --base-dir /home --create-home --shell /bin/bash flutter_dev

# surpress "debconf: unable to initialize frontend: Dialog" error messages
ENV DEBIAN_FRONTEND=noninteractive

USER flutter_dev
# ADD --chown=1001:1001 --chmod=766 android-studio-2024.2.2.15-linux.tar.gz /tmp
ADD --chown=flutter_dev:flutter_dev --chmod=766 android-studio-2024.2.2.15-linux.tar.gz /tmp

核心原因 #

当切换到flutter_dev普通用户后执行ADD命令时，当前用户没有修改/tmp目录下文件所有者的权限：

1. 容器内的/tmp目录默认由root用户创建，所有者为root:root，普通用户仅拥有读写执行权限，但无修改文件所有者的权限。
2. ADD命令处理压缩包时，会先自动解压文件到目标目录，再尝试执行--chown指定的权限变更。但由于当前用户是普通用户，无法修改root所有者的文件权限，该操作会静默失败（Docker不会抛出错误，但权限未变更）。

可行解决方案 #

方案1：root用户下执行ADD再切换非root用户 #

将ADD命令放在USER flutter_dev之前，以root用户身份执行，此时root拥有修改任何文件权限的能力，--chown参数可正常生效：

FROM eclipse-temurin:17-noble
SHELL ["/bin/bash", "-c"]

# 创建非root用户
RUN useradd --base-dir /home --create-home --shell /bin/bash flutter_dev

ENV DEBIAN_FRONTEND=noninteractive

# 以root执行ADD，指定所有者
ADD --chown=flutter_dev:flutter_dev --chmod=766 android-studio-2024.2.2.15-linux.tar.gz /tmp

# 切换到非root用户
USER flutter_dev

方案2：修改/tmp目录权限后执行ADD（不推荐） #

如果必须提前切换到非root用户，可先修改/tmp目录的所有者或权限，让flutter_dev拥有修改权限，但此方式会破坏系统默认的/tmp安全设置，不建议生产环境使用：

FROM eclipse-temurin:17-noble
SHELL ["/bin/bash", "-c"]

RUN useradd --base-dir /home --create-home --shell /bin/bash flutter_dev

ENV DEBIAN_FRONTEND=noninteractive

# root下修改/tmp所有者为flutter_dev
RUN chown flutter_dev:flutter_dev /tmp

USER flutter_dev
ADD --chown=flutter_dev:flutter_dev --chmod=766 android-studio-2024.2.2.15-linux.tar.gz /tmp

关于COPY命令生效的说明 #

COPY配合手动解压能生效的原因分为两种情况：

• 提前解压压缩包后复制：此时可在root用户下用COPY --chown直接指定所有者，权限变更由root执行，自然生效。
• 复制压缩包后在容器内解压：此时以flutter_dev用户执行解压操作，生成的文件默认属于当前用户，但需要额外安装tar工具，会增加镜像层数和体积。

内容的提问来源于stack exchange，提问作者newbie