Docker镜像本地运行正常，GCP Cloud Run部署遇权限拒绝错误

• 本地Docker运行正常，可通过localhost:3000访问静态页面，但部署到Cloud Run时启动失败，报错权限拒绝
• 应用为通过API获取物品列表并展示的基础静态页面应用
• 已尝试的排查操作：
  • 为服务账号分配Cloud Run Admin、Compute Admin、Storage Object Admin权限
  • 切换第二代GCR环境（手动/自动选择）
  • 在Dockerfile中设置/app/node_modules/.bin及整个/app目录的所有权为65532用户，并赋予777权限
  • 尝试以root用户运行应用
  • 在CMD中添加权限修改和身份查看命令，但日志未输出相关内容

当前使用的Dockerfile：

FROM node:alpine

WORKDIR /app

ENV PATH /app/node_modules/.bin:$PATH

# install app dependencies
COPY package.json ./
COPY package-lock.json ./
RUN npm install --silent

# Ensure the node_modules/.bin directory is owned by the non-root user and files are executable
RUN chown -R 65532:65532 /app/node_modules/.bin && chmod -R 777 /app/node_modules/.bin

# add app
COPY . ./

# Ensure the whole app directory is owned by the non-root user
RUN chown -R 65532:65532 /app

# Override any default entrypoint from the base image
ENTRYPOINT [""]

# Start the application as root
USER root

# start app
# CMD ["npm", "start"]
CMD ["sh", "-c", "chmod -R 777 /app/node_modules/.bin", "whoami && id && ls -la /app/node_modules/.bin && npm start"]

1. 修复CMD命令格式错误 #

当前CMD写法存在问题：sh -c仅接受一个命令字符串，后续参数会被直接忽略，导致日志查看命令从未执行。正确写法需将所有命令合并为一个字符串：

CMD ["sh", "-c", "chmod -R 777 /app/node_modules/.bin && whoami && id && ls -la /app/node_modules/.bin && npm start"]

修改后可查看用户身份、目录权限等关键日志，定位真实问题。

2. 调整Dockerfile权限处理顺序 #

你在npm install后修改了node_modules/.bin权限，但后续执行COPY . ./会覆盖整个/app目录，可能导致之前的权限设置被重置。建议调整步骤顺序，并配合.dockerignore优化镜像构建：

FROM node:alpine

WORKDIR /app

# 先复制应用代码（通过.dockerignore排除本地node_modules）
COPY . ./

# 安装依赖
COPY package.json ./
COPY package-lock.json ./
RUN npm install --silent

# 设置整个/app目录的权限，确保node_modules/.bin下文件可执行
RUN chown -R 65532:65532 /app && chmod -R 755 /app/node_modules/.bin

# 使用Cloud Run推荐的非root用户运行
USER 65532

ENV PATH /app/node_modules/.bin:$PATH

CMD ["npm", "start"]

同时添加.dockerignore文件，内容为node_modules，避免本地依赖被复制到镜像中干扰构建。

3. 检查npm start命令的实际执行逻辑 #

确认package.json中的start命令未调用/app/node_modules/.bin下无执行权限的脚本。例如若启动命令为react-scripts start，需确保react-scripts对应的bin文件具备可执行权限（通过chmod +x设置）。

4. 避免过度使用777权限 #

777权限存在安全风险，推荐使用755权限（所有者可读写执行，组及其他用户可读执行），配合正确的用户所有权即可满足Cloud Run运行要求。

内容的提问来源于stack exchange，提问作者Slam_Makanen