如何在Docker容器中以非root权限运行Python静态二进制文件？

现有Dockerfile基于Chainguard Wolfi Base构建Python静态二进制，使用PyInstaller+staticx打包，最终镜像采用Chainguard Static:latest-glibc并以nonroot用户运行时，出现错误：Failed to open /proc/self/exe: Permission denied，原因是该镜像中nonroot用户默认无/proc/self/exe访问权限。

以下是可行解决方案：

方案1：修改staticx构建参数，禁用/proc/self/exe依赖 #

staticx运行时可通过参数禁用对/proc/self/exe的直接访问，改用其他方式获取二进制路径。修改构建阶段的staticx命令：

WORKDIR /code/app

# 添加--runtime-option '--no-proc-self-exe'参数
RUN pyinstaller static.spec && staticx --runtime-option '--no-proc-self-exe' dist/main dist/main_app

此参数会让staticx通过/proc/self/cmdline或环境变量获取自身路径，绕开对/proc/self/exe的访问。

方案2：指定staticx资源提取目录 #

让staticx将内嵌资源提取到nonroot用户有权限的专属目录，无需访问/proc/self/exe：

1. 在builder阶段构建时指定提取目录：

WORKDIR /code/app

RUN pyinstaller static.spec && staticx --runtime-option '--extract-dir /tmp/staticx' dist/main dist/main_app

2. 在最终镜像中创建该目录并赋予权限：

FROM cgr.dev/chainguard/static:latest-glibc

RUN mkdir -p /tmp/staticx && chown nonroot:nonroot /tmp/staticx

COPY --from=builder /code/app/dist/main_app /main_app

ENTRYPOINT ["/main_app"]

方案3：换用Nuitka构建静态二进制 #

Nuitka将Python代码编译为C代码再生成二进制，可直接生成无额外runtime依赖的静态二进制，彻底避免staticx带来的/proc访问问题：

修改builder阶段的工具安装和打包步骤：

FROM cgr.dev/chainguard/wolfi-base as builder

ENV PATH=/venv/bin:$PATH

COPY . /code/app

RUN apk add --no-cache python-3.11 git wget jq build-base posix-libc-utils \
  && python3 -m venv /venv

WORKDIR /tmp

RUN pip install --upgrade pip \
  && pip install --no-cache-dir nuitka \
  && pip install --no-cache-dir -r /code/app/requirements-ci.txt \
  && pip install --no-cache-dir /code/app

WORKDIR /code/app

# 使用Nuitka编译为单文件静态二进制
RUN python -m nuitka --standalone --onefile --static-libpython=yes main.py

FROM cgr.dev/chainguard/static:latest-glibc

COPY --from=builder /code/app/main.bin /main_app

ENTRYPOINT ["/main_app"]

注：Wolfi Base的python-3.11包默认包含静态编译的Python库，--static-libpython=yes参数可直接生效。

内容的提问来源于stack exchange，提问作者Laurent Michel