容器启动后修改Docker默认用户的实现方案

方法一：Dockerfile设置默认用户，Entrypoint临时切换root启动 #

这是你提到的「设置USER user后让主进程以root运行」的可行方案，核心思路是先把容器默认用户设为非root，再通过entrypoint切换身份启动主进程：

1. Dockerfile编写

# 创建非root用户
RUN useradd -m user

# 先设置默认用户为user
USER user

# 安装gosu（比su更安全，避免容器tty问题）
USER root
RUN apt-get update && apt-get install -y gosu && rm -rf /var/lib/apt/lists/*
USER user

# 复制并赋予执行权限给entrypoint脚本
COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh

ENTRYPOINT ["/entrypoint.sh"]
CMD ["your-main-process"]

2. Entrypoint脚本实现身份切换

#!/bin/sh
# 切换到root身份启动传入的主进程
exec gosu root "$@"

容器启动时，entrypoint会自动切换到root执行CMD定义的主进程；而容器默认用户保持为user，因此docker exec或docker-compose exec无需额外指定--user，默认就会以user身份执行命令。

方法二：启动时指定默认用户，Entrypoint自动适配 #

如果不想修改Dockerfile的USER指令，可通过启动参数指定默认用户，配合entrypoint自动切换root启动主进程：

1. Dockerfile仅创建用户

RUN useradd -m user
COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]
CMD ["your-main-process"]

2. Entrypoint脚本判断并切换身份

#!/bin/sh
# 若当前不是root，切换到root执行主进程
if [ "$(id -u)" != "0" ]; then
    exec gosu root "$@"
else
    exec "$@"
fi

3. 启动容器时指定默认用户

• Docker命令：

docker run --user user your-image

• Docker-Compose配置：

services:
  your-service:
    image: your-image
    user: user

为什么之前的su - user无效？ #

你之前在entrypoint末尾执行su - user，仅改变了entrypoint后续命令的执行身份，但容器的默认执行用户仍为root（未通过USER指令或启动参数修改），因此docker exec会默认以root运行。上述方案从根本上修改了容器的默认用户配置，同时保证主进程以root启动。

额外说明 #

• 若使用Alpine镜像，安装gosu需替换为apk add --no-cache gosu
• 若不想安装gosu，可改用su root -c "$*"，但这种方式可能存在tty兼容性问题，优先推荐gosu

内容的提问来源于stack exchange，提问作者vuryss