Dockerfile入口点如何安全降级root权限？防止app用户切回root

核心思路 #

别用su或sudo这类能切换回root的方式，直接在入口脚本里完成root权限的证书操作后，用exec搭配gosu或su-exec替换当前进程为app用户运行应用——这样原root进程会被直接替换，不存在切回的可能。

具体实现步骤 #

1. 安装权限切换工具 #

根据基础镜像选择安装工具：

# Debian/Ubuntu系安装gosu（推荐，权限控制更严谨）
RUN apt-get update && apt-get install -y --no-install-recommends gosu \
    && rm -rf /var/lib/apt/lists/*

# Alpine系安装su-exec（轻量替代）
# RUN apk add --no-cache su-exec

2. 编写入口脚本（entrypoint.sh） #

脚本先以root身份完成证书操作，再替换进程切换用户：

#!/bin/sh

# 第一步：root权限下执行证书获取和CA更新
echo "开始获取证书并更新CA..."
# 替换成你的实际操作，比如：
# curl -o /usr/local/share/ca-certificates/custom.crt https://your-cert-source.com/cert.crt
# update-ca-certificates

# 第二步：用exec替换当前root进程为app用户的应用进程
exec gosu app "$@"
# 用su-exec的话写：exec su-exec app "$@"

3. Dockerfile配置 #

复制脚本并设置为入口点，无需提前切换USER app：

COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh

ENTRYPOINT ["entrypoint.sh"]
CMD ["your-app-start-command"] # 替换成你的应用启动命令

为什么能避免切回root？ #

用exec gosu app ...时，gosu会直接把当前的root进程替换成app用户的应用进程，原root进程直接退出，容器内只剩app用户的进程环境，根本不存在可以切回的root进程，自然没法用exit回到root。

而su - app只是在root进程里启动一个子shell，原root进程还在后台运行，exit后就会回到这个root进程，这就是两者的核心差异。

内容的提问来源于stack exchange，提问作者ScottishTapWater