Docker COPY --chown权限异常：确保工作目录始终归指定用户所有

问题原因 #

COPY --chown 命令仅会修改复制过来的文件和子目录的权限，不会改变目标目录本身的所有权。本地构建时可能因环境特性让你产生当前目录权限变更的错觉，但在AWS CodePipeline的标准构建环境中，基础镜像的默认工作目录（/）本身归root所有，因此复制后该目录权限不会自动改变。

解决方案 #

方案1：显式修改当前目录权限

在COPY命令后添加RUN指令，直接将当前目录的所有者修改为bean用户：

FROM python:3.11

# Create non-root user to run with
ARG USERNAME=bean
ARG USER_UID=999
ARG USER_GID=$USER_UID
RUN groupadd --gid $USER_GID $USERNAME && useradd --uid $USER_UID --gid $USER_GID -m $USERNAME
COPY --chown=$USERNAME:$USERNAME . .
# 显式修改当前目录权限
RUN chown $USERNAME:$USER_GID .

方案2：切换到用户专属目录后复制代码

将工作目录切换到bean用户的home目录（该目录创建用户时已归bean所有），再复制代码，从根源避免权限问题：

FROM python:3.11

# Create non-root user to run with
ARG USERNAME=bean
ARG USER_UID=999
ARG USER_GID=$USER_UID
RUN groupadd --gid $USER_GID $USERNAME && useradd --uid $USER_UID --gid $USER_GID -m $USERNAME

# 切换工作目录到bean的home目录
WORKDIR /home/$USERNAME

# 复制代码到当前目录（目录本身已归bean所有）
COPY --chown=$USERNAME:$USERNAME . .

关键说明 #

两种方案都能确保最终容器中工作目录的所有者是bean用户，方案2更符合非root用户的最佳实践，避免在root目录下修改权限的操作。

内容的提问来源于stack exchange，提问作者Luciano