`daemonUser`是否为`defaultLinuxInstallLocation`文件的正确所有者？Docker权限安全探讨

关于daemonUser是否为defaultLinuxInstallLocation文件的正确所有者 #

默认配置的DockerPlugin生成的镜像里，/opt/docker（即defaultLinuxInstallLocation）下的文件所有者是demiourgos728，但从安全最佳实践来看，这并非合理配置。运行应用的用户不应该成为应用文件的可修改所有者，正确的做法是让应用文件由root或只读权限的系统用户拥有，运行应用的非特权用户仅保留读取和执行权限。

运行应用的用户是否应拥有修改应用文件的权限？ #

答案是不应该，原因如下：

• 遵循最小权限原则：应用运行过程中只需要读取、执行应用文件的权限，修改权限完全多余，缩小权限范围能有效降低攻击面。
• 防范漏洞利用：即使应用存在漏洞导致攻击者获取到demiourgos728的权限，若该用户无法修改应用文件，攻击者就难以通过篡改代码、配置文件来植入恶意软件或提升权限。比如尝试执行chmod +w修改文件权限时，若文件本身由root所有，普通用户也没有权限变更其权限属性，从根源上阻断这类攻击路径。

优化建议 #

• 镜像构建阶段，用root用户将应用文件复制到/opt/docker，设置文件权限为只读（如chmod 555），保留root作为文件所有者。
• 创建非特权用户demiourgos728，切换至该用户启动应用，确保运行时仅拥有必要的读、执行权限。
• 若应用需要写入操作（如日志、临时文件），单独创建专属目录（如/opt/docker/logs、/opt/docker/tmp），仅对这些目录赋予demiourgos728写入权限，避免开放整个应用目录的修改权。

内容的提问来源于stack exchange，提问作者Mike