Dockerfile配置Tomcat权限：chown后仍出现catalina.sh权限拒绝的原因及安全解决方案

一、为什么只执行chown还会出现权限拒绝？ #

这是因为Linux的权限系统是所有权和权限位两个完全独立的控制维度：

• chown myuser:myuser /tomcat只是把/tomcat目录及其下所有文件的所有者/组改成了myuser，但并没有修改文件本身的权限位设置。
• 举个实际例子：Tomcat默认的catalina.sh脚本权限可能是-rw-r--r--（644）——也就是所有者有读、写权限，但没有执行权限。哪怕你把所有者改成myuser，myuser作为所有者也没法执行这个脚本，因为执行位根本没开启。
• 对于目录来说，需要执行权限才能进入（cd）或访问目录内的文件，如果目录的权限位没有给所有者分配执行权限，哪怕你是所有者，也没法操作目录里的内容。

简单总结：chown让你成为了文件的主人，但文件的“使用规则”（哪些操作允许）还是原来的设置——你得用chmod来调整这些规则。

二、替代chmod 777的最优安全方案 #

chmod 777会给所有用户（包括无关用户）读、写、执行权限，确实有严重的安全风险，我们可以精准控制权限范围：

1. 只给必要的执行文件添加执行权限

Tomcat的启动脚本都集中在/tomcat/bin目录下，我们只给这些shell脚本添加所有者的执行权限即可：

RUN chown -R myuser:myuser /tomcat
# 仅给bin目录下的shell脚本添加所有者执行权限
RUN chmod u+x /tomcat/bin/*.sh

u+x表示仅给文件的所有者（也就是myuser）添加执行权限，组和其他用户不会获得执行权，安全性更高。

2. 给目录和普通文件分配合适权限

目录需要执行权限才能进入，普通文件则只需读/写权限（除非是可执行文件）：

RUN chown -R myuser:myuser /tomcat
# 给所有目录添加所有者的读、写、执行权限（确保能进入目录）
RUN find /tomcat -type d -exec chmod u+rwx {} \;
# 给所有普通文件添加所有者的读、写权限（不需要执行的文件就别加执行位）
RUN find /tomcat -type f -exec chmod u+rw {} \;
# 单独给bin目录下的脚本加执行权限
RUN chmod u+x /tomcat/bin/*.sh

3. 参考官方Tomcat镜像的最佳实践

如果你是基于官方Tomcat镜像构建，其实官方已经内置了一个tomcat用户，并且提前配置好了正确的权限。你可以直接使用这个用户，无需自己创建myuser：

# 基于官方Tomcat镜像
FROM tomcat:9-jdk11
# 直接切换到官方内置的tomcat用户
USER tomcat
# 后续操作...

这样可以避免手动配置权限的麻烦，同时完全遵循官方的安全规范。

内容的提问来源于stack exchange，提问作者Jonathan Hagen