无需root权限配置Python构建节点，支持构建时安装依赖

针对你遇到的Jenkins构建节点中pip安装权限问题，以下是几个兼顾安全与灵活性的可行方案：

方案1：使用pip的--user安装选项 #

直接让pip将依赖包安装到jenkins用户的个人目录，无需系统级权限：

• 执行命令：python -m pip install --user -r requirements.txt
• 注意事项：需要确保用户的local site-packages路径被Python识别，可在构建脚本中添加：

  export PYTHONPATH="$HOME/.local/lib/python3.11/site-packages:$PYTHONPATH"
  

• 优点：无需修改镜像或目录权限，操作简单；完全遵循非root用户权限规范
• 缺点：依赖包会分散在用户目录，若多个项目共享构建节点可能存在版本冲突风险

方案2：调整系统site-packages目录权限（镜像构建阶段配置） #

在基础镜像构建的root阶段，修改site-packages目录的归属或权限，让jenkins用户拥有写入权限：

• 镜像Dockerfile中添加（root身份执行）：

  RUN chown -R jenkins:jenkins /opt/app-root/lib/python3.11/site-packages
  # 或仅开放组写入权限（若jenkins属于特定用户组）
  # RUN chmod -R g+w /opt/app-root/lib/python3.11/site-packages
  

• 优点：后续构建无需额外配置，jenkins用户可直接使用全局site-packages
• 缺点：需修改基础镜像；全局目录权限开放可能带来一定的版本污染风险，但比root运行容器安全得多

方案3：使用Python虚拟环境（推荐） #

由jenkins用户创建独立的虚拟环境，将依赖包安装在环境内部，完全隔离全局环境：

• 构建脚本中执行：

  # 创建虚拟环境
  python -m venv .venv
  # 激活虚拟环境（bash/zsh）
  source .venv/bin/activate
  # 安装依赖
  python -m pip install -r requirements.txt
  # 后续构建步骤均在虚拟环境中执行
  

• 优点：完全隔离不同项目的依赖环境，避免版本冲突；无需修改系统目录权限，安全性高；灵活性强，支持任意阶段安装依赖
• 缺点：构建脚本需增加虚拟环境创建与激活步骤，略微增加构建时间

内容的提问来源于stack exchange，提问作者Chirrut Imwe