Dockerfile中以root安装包后切换非root用户，还是直接用gosu/sudo？

按照Docker镜像最佳实践要求，容器应使用非root用户运行。常见的创建非root用户的Dockerfile代码如下：

ARG USERNAME=user
ARG USER_UID=1000
ARG USER_GID=1000

RUN groupadd --gid $USER_GID $USERNAME \
    && useradd --uid $USER_UID --gid $USER_GID -m $USERNAME 
USER $USERNAME 

但安装依赖包通常需要root权限，且不建议在root和非root用户间频繁切换，针对这一场景的安全疑问，解答如下：

1. 是否应在Dockerfile中以root身份安装所有包，完成后切换至非root用户？会不会出现需要来回切换用户的情况？ #

是的，推荐以root身份完成所有安装类操作，最后再切换到非root用户。安装系统包、配置环境这类操作本身就需要root权限，集中在镜像构建前期完成，能避免频繁切换用户带来的镜像层冗余和复杂度。

至于pip、cargo这类工具的执行：

• 若安装系统级依赖（比如pip install到全局目录），依然用root完成；
• 若处理项目级依赖（比如pip install --user或cargo构建项目），可在切换到非root用户后执行——这类操作不需要root权限，依赖会安装在用户目录下，符合非root运行的安全逻辑，无需来回切换用户。

2. 使用gosu（或sudo并将用户加入sudoers）是否有价值？这会不会让用户本质上仍具备root权限？ #

如果容器运行时不需要临时获取root权限，完全没必要用gosu或sudo：

• gosu的作用是在容器启动时从root切换到非root用户执行命令，它不会赋予非root用户持续的root权限，只是解决启动阶段的权限切换问题（比如部分服务启动脚本需要root初始化，但运行时可以降权）。这种场景下它比sudo更轻量，不会留下sudoers配置的安全隐患，有实际价值。
• 给非root用户配置免密sudo的话，本质上该用户就拥有了完全的root权限，违背了非root运行的安全初衷，除非有明确的临时提权需求，否则绝对不建议这么做。

3. Docker容器内是否仍应保留root作为特权用户？ #

是的，容器内需要保留root用户，但运行容器时不要用root启动。

保留root的原因：

• 镜像构建阶段需要root完成安装、配置操作；
• 容器运行时如果遇到紧急情况（比如排查权限问题、修改配置），可以通过docker exec -u root临时切换到root操作，无需重新构建镜像。

日常运行必须用非root用户，这样即使容器被攻破，攻击者拿到的是非root权限，能大幅降低对宿主机和其他容器的影响。

内容的提问来源于stack exchange，提问作者everyDay0