使用GitLab CI自动化构建Python源码Debian包时遭遇权限拒绝问题求助

我之前在Docker里构建Debian-based镜像时也碰到过一模一样的权限问题——明明是root用户操作，却没法写入Python的__pycache__目录。这种情况通常是Docker的安全策略或者Python字节码生成机制导致的，以下是几个亲测有效的解决办法：

1. 禁用Python字节码生成（最直接的方案） #

Python在安装包时会自动编译.py文件生成.pyc缓存，而Debian的部分包post-install脚本会触发这个过程，一旦Docker的文件系统限制了原子写入操作，就会抛出权限错误。

你可以在setup.sh开头添加环境变量，强制Python不生成字节码：

#!/bin/sh
# 禁用Python字节码生成，避免写入__pycache__
export PYTHONDONTWRITEBYTECODE=1

# requirements
apt-get update
echo 'debconf debconf/frontend select Noninteractive' | debconf-set-selections
apt-get -y install git dh-make build-essential autoconf autotools-dev devscripts build-essential lintian pandoc

这个方法能直接跳过缓存生成步骤，从根源上避免权限问题。

2. 调整Docker构建命令的安全选项 #

如果禁用字节码不符合你的需求，可以尝试放宽Docker的安全限制。构建镜像时加上--security-opt seccomp=unconfined参数，解除对系统调用的限制：

docker build --security-opt seccomp=unconfined -t your-image-name .

某些Docker环境默认启用的seccomp配置会阻止_write_atomic这类系统调用，导致权限错误，解除限制后就能正常执行。

3. 简化Dockerfile，直接内嵌安装命令 #

有时候ADD命令可能会带来意外的权限继承问题，你可以把setup.sh的内容直接写到Dockerfile里，减少中间环节：

FROM debian:bullseye
# 全局禁用Python字节码
ENV PYTHONDONTWRITEBYTECODE=1

RUN apt-get update && \
    echo 'debconf debconf/frontend select Noninteractive' | debconf-set-selections && \
    apt-get -y install git dh-make build-essential autoconf autotools-dev devscripts build-essential lintian pandoc && \
    apt-get clean && rm -rf /var/lib/apt/lists/*

同时加上apt-get clean和清理缓存的命令，还能减小镜像体积。

4. 检查Docker Daemon的用户命名空间配置 #

如果你是在多用户环境下使用Docker，可能启用了用户命名空间映射（user namespace remapping），这会导致容器内的root用户实际对应宿主机的普通用户，从而失去真正的root权限。

你可以通过修改/etc/docker/daemon.json关闭这个功能（需要重启Docker daemon）：

{
  "userns-remap": false
}

重启Docker：

systemctl restart docker

然后重新构建镜像即可。

针对你更换Python镜像后的问题 #

不管基础镜像是debian:bullseye还是python:3-bullseye，问题本质都是Python生成缓存时的权限限制，上面的方法同样适用——优先试试禁用PYTHONDONTWRITEBYTECODE，这是最快捷的解决方案。

内容的提问来源于stack exchange，提问作者net_programmer