单阶段Docker构建卸载Pip遇权限错误，求完整解决方案

问题描述 #

使用单阶段Docker构建Python 3.10 API镜像时，因Pip存在安全漏洞需要彻底移除，但执行卸载命令时触发权限错误：

2024-02-19T07:11:11.3780709Z PermissionError: [Errno 13] Permission denied: '/usr/bin/pip' -> '/tmp/pip-uninstall-4wwhhueu/pip'

问题根源 #

默认Python镜像中的/usr/bin/pip属于root用户，直接执行python3 -m pip uninstall pip时，当前进程没有足够权限修改/移动系统级文件；另外之前用--user参数安装依赖，虽将包放到用户目录，但卸载系统级Pip仍需root权限。

修正后的Dockerfile #

FROM artifactory.sdlc.ctl.gcp.db.com/dkr-public-local/gcp-community-images/python:3.10
ARG ENV_VAR
ENV APP_ENV=$ENV_VAR
WORKDIR /app
ENV http_proxy=http://sp-surf-proxy.intranet.db.com:8080
ENV https_proxy=http://sp-surf-proxy.intranet.db.com:8080
ENV no_proxy=.googleapis.com,metadata.google.internal,status.cloud.google.com, 

COPY requirements.txt /app
# 按用户安装依赖，避免污染系统环境
RUN pip install -r /app/requirements.txt \
    --user \
    --disable-pip-version-check \
    --no-cache-dir

# 彻底清理Pip相关文件
RUN rm -f /usr/bin/pip* && \
    python3 -m pip uninstall pip -y && \
    rm -rf ~/.local/bin/pip* ~/.local/lib/python3.10/site-packages/pip*

COPY . /app
RUN ls /app
RUN python3 --version
CMD ["python3", "/app/src/app.py"]

关键修改说明 #

• 先删除/usr/bin/pip*系统级符号链接，绕开卸载时的文件移动权限限制；
• 利用Docker默认的root身份执行pip uninstall，确保有足够权限移除系统级Pip包；
• 清理用户目录下的Pip残留（~/.local路径下的可执行文件和包目录），彻底消除Pip相关引用；
• 如果镜像中切换了非root用户，需在卸载指令前添加sudo，或临时切换回root完成卸载后再切回普通用户。

内容的提问来源于stack exchange，提问作者Neha Shrivastava