在Digital Ocean部署Rust Docker镜像时docker run启动容器提示权限拒绝问题求助

我来帮你搞定这个在Digital Ocean部署时遇到的权限问题。你的构建过程没问题，但运行阶段因为scratch镜像的特殊性，加上Digital Ocean默认用非root用户运行容器，导致了权限拒绝的错误。下面具体分析原因和解决办法：

问题根源拆解 #

• 权限上下文缺失：scratch镜像完全是空的，没有任何用户账户、shell或基础权限工具。Digital Ocean的部署逻辑会用非root用户启动容器，但scratch里没有对应用户的上下文配置，导致无法加载二进制文件。
• 未完成静态编译：你虽然添加了x86_64-unknown-linux-musl编译目标，但cargo build时没指定这个target，最终生成的是依赖glibc的二进制文件——虽然你的错误提示是权限问题，但这个潜在的依赖问题也需要一起解决，避免后续踩坑。

具体解决方案 #

方案1：适配scratch镜像的权限与静态编译 #

修改Dockerfile，确保生成静态链接的二进制文件，并给scratch镜像添加必要的用户上下文：

####################################################################################################
## Builder
####################################################################################################
FROM rust:latest AS builder
RUN rustup target add x86_64-unknown-linux-musl
RUN apt update && apt install -y musl-tools musl-dev
RUN update-ca-certificates

# 创建非root用户，后续复制到scratch镜像中
RUN useradd -m rustuser

WORKDIR /myrustapp
COPY ./ .
# 指定musl target编译，生成完全静态的二进制文件
RUN cargo build --release --target x86_64-unknown-linux-musl
# 确保二进制文件拥有执行权限
RUN chmod +x /myrustapp/target/x86_64-unknown-linux-musl/release/myrustapp

####################################################################################################
## Final image
####################################################################################################
FROM scratch
WORKDIR /myrustapp

# 从builder镜像复制用户配置，让非root用户能正常运行
COPY --from=builder /etc/passwd /etc/passwd
# 复制静态编译好的二进制文件
COPY --from=builder /myrustapp/target/x86_64-unknown-linux-musl/release/myrustapp ./

# 切换到之前创建的非root用户
USER rustuser

# 设置容器启动命令
CMD ["/myrustapp/myrustapp"]

方案2：改用Alpine镜像（更简单，推荐） #

如果不需要极致的镜像大小，改用Alpine镜像会省去很多scratch带来的麻烦——Alpine是轻量Linux发行版，自带基础工具和库，权限配置更友好：

####################################################################################################
## Builder
####################################################################################################
FROM rust:latest AS builder
RUN rustup target add x86_64-unknown-linux-musl
RUN apt update && apt install -y musl-tools musl-dev
RUN update-ca-certificates

WORKDIR /myrustapp
COPY ./ .
RUN cargo build --release --target x86_64-unknown-linux-musl

####################################################################################################
## Final image
####################################################################################################
FROM alpine:latest
WORKDIR /myrustapp

# 复制静态编译的二进制文件
COPY --from=builder /myrustapp/target/x86_64-unknown-linux-musl/release/myrustapp ./
# 确保二进制文件有执行权限
RUN chmod +x /myrustapp/myrustapp

# 创建并切换到非root用户
RUN adduser -D rustuser
USER rustuser

CMD ["/myrustapp/myrustapp"]

验证与部署 #

修改完Dockerfile后，重新构建镜像并推送到Digital Ocean的容器注册表，再触发部署即可。这两个方案都解决了核心问题：

• 静态编译的二进制文件不依赖系统库，在任何轻量镜像中都能运行
• 添加了合法的非root用户上下文，符合Digital Ocean的运行要求
• 确保二进制文件拥有正确的执行权限

内容的提问来源于stack exchange，提问作者0xtlt