Docker构建node镜像时/home/node目录被root占用的原因排查

我尝试扩展node:latest镜像，添加额外软件包并安装带自定义主题的zsh shell。但在node用户的主目录/home/node中创建文件时，整个主目录会变为root用户所有，无法确定原因。

我的Dockerfile内容如下：

FROM node:latest

RUN ls -al /home
RUN touch /home/node/test.txt
RUN ls -al /home

第一次执行ls -al /home的输出（显示node用户拥有其主目录）：

drwxr-xr-x 1 root root 4096 Jul 28 22:03 .
drwxr-xr-x 1 root root 4096 Aug  7 22:18 ..
drwxr-xr-x 2 node node 4096 Jul 28 22:03 node

第二次执行ls -al /home的输出（显示node目录已变为root用户所有）：

drwxr-xr-x 1 root root 4096 Jul 28 22:03 .
drwxr-xr-x 1 root root 4096 Aug  7 22:20 ..
drwxr-xr-x 1 root root 4096 Aug  7 22:19 node

是什么导致该目录被root用户占用？我也曾在执行这些命令前使用USER node，但无效果；尝试以node用户执行命令也得到相同结果。

Docker版本：20.10.25, build 20.10.25-0ubuntu1~22.04.1

原因：镜像默认Volume的权限特性 #

node:latest镜像的/home/node目录被默认声明为匿名卷（可通过docker inspect node:latest查看Volumes字段验证）。Docker构建镜像时，对已标记为Volume的目录进行写入操作会触发特殊权限规则：

1. 以root用户写入Volume目录时，Docker会自动将目录所有者重置为root，覆盖原有node用户权限。
2. 即使切换到USER node执行写入，构建阶段Volume的初始化逻辑依然会导致权限被重置——因为构建上下文的Volume权限默认继承自root用户。

解决步骤 #

1. 取消默认Volume绑定（非必需Volume场景）
   如果不需要保留/home/node的Volume特性，可先删除镜像的默认Volume声明，再执行文件操作：

   FROM node:latest
   # 重新指定工作目录，避开默认Volume目录
   WORKDIR /app
   
   RUN ls -al /home
   RUN touch /home/node/test.txt
   RUN ls -al /home
   

2. 显式修复权限后操作目录
   若必须操作/home/node目录，先强制修复权限再切换用户：

   FROM node:latest
   
   RUN ls -al /home
   # 确保目录权限归属node用户
   RUN chown -R node:node /home/node
   # 切换到node用户执行写入
   USER node
   RUN touch /home/node/test.txt
   # 切回root验证权限（可选）
   USER root
   RUN ls -al /home
   

3. 用COPY指令替代RUN写入（推荐）
   若要添加自定义文件到/home/node，优先使用COPY并指定所有者：

   FROM node:latest
   
   # 复制本地文件并指定所有者为node
   COPY --chown=node:node ./test.txt /home/node/test.txt
   RUN ls -al /home
   

补充说明 #

官方node镜像将/home/node设为Volume，是为了容器运行时持久化用户数据，但这会导致构建阶段对该目录的写入触发权限变更。构建阶段应尽量避免修改Volume目录，如需操作，要么取消Volume声明，要么显式指定权限。

内容的提问来源于stack exchange，提问作者WitHeld