.NET 8容器镜像下非root用户如何写入日志文件？

以下是几种无需切换回容器root用户的解决方案：

方案1：修改宿主机日志目录的权限/ACL #

容器内的app用户无法写入宿主机目录，核心是权限不匹配。你可以先确认容器内app用户的UID和GID：

docker run --rm -it mcr.microsoft.com/dotnet/runtime:8.0-alpine id app

输出类似uid=1000(app) gid=1000(app) groups=1000(app)，记下对应的UID和GID。

方法A：修改目录属主 #

直接将宿主机日志目录的属主改为容器内app用户的UID/GID：

sudo chown -R 1000:1000 /var/log/historical-updater-indexes

方法B：设置ACL权限（更灵活） #

如果不想修改目录属主，可以通过ACL给app用户的UID赋予读写权限：

sudo setfacl -R -m u:1000:rwx /var/log/historical-updater-indexes
# 可选：设置默认ACL，确保后续新建文件也有权限
sudo setfacl -R -m d:u:1000:rwx /var/log/historical-updater-indexes

方案2：在Dockerfile中预配置日志目录权限 #

在构建镜像时，先以root身份创建日志目录并设置归属为app用户，再切换回app：

FROM mcr.microsoft.com/dotnet/runtime:8.0-alpine AS base
# 临时切换root创建目录并授权
USER root
RUN mkdir -p /app/logs && chown -R app:app /app/logs
USER app
WORKDIR /app

这样容器内的/app/logs目录默认属于app用户，挂载宿主机目录后，只要宿主机目录权限允许（配合方案1效果更好），就能正常写入日志。

你也可以在Dockerfile中指定app用户的UID与宿主机目录的属主UID一致，避免权限问题：

FROM mcr.microsoft.com/dotnet/runtime:8.0-alpine AS base
USER root
# 修改app用户的UID为宿主机目录属主的UID（比如1001）
RUN usermod -u 1001 app && groupmod -g 1001 app
RUN mkdir -p /app/logs && chown -R app:app /app/logs
USER app
WORKDIR /app

方案3：在Docker Compose中指定运行用户 #

在docker-compose.yml中，直接指定容器进程以宿主机上拥有日志目录权限的UID/GID运行：

version: '3.9'

services:
  historical-updater-indexes:
    image: historical-updater:latest
    container_name: historical-updater-indexes
    restart: no
    user: "1000:1000" # 替换为容器内app用户的UID:GID，或宿主机有权限的用户UID:GID
    volumes:
      - /home/user/docker/historical-updater/appsettings_indexes.json:/app/appsettings.json
      - /var/log/historical-updater-indexes:/app/logs
    env_file:
      - common.env

这种方式无需修改宿主机或镜像，直接通过Compose配置让容器进程拥有对应权限。

内容的提问来源于stack exchange，提问作者E.Benedos