如何以非root用户身份运行现有GitHub Action（如super-linter）

针对自托管Runner上super-linter以root运行导致文件归属问题，以下是几个可行的解决方法：

方法一：通过Job的container选项指定运行用户 #

直接在Workflow的Job中定义容器运行参数，覆盖默认的root用户，无需修改官方Action或镜像：

jobs:
  code-lint:
    runs-on: self-hosted
    container:
      image: ghcr.io/super-linter/super-linter:latest
      options: --user 1000:1000  # 替换为自托管Runner非root用户的UID:GID，可通过`id -u`/`id -g`获取
    steps:
      - uses: actions/checkout@v4
      - name: Execute Super-Linter
        run: /usr/bin/super-linter.sh
        env:
          DEFAULT_BRANCH: main
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          # 按需添加其他super-linter环境变量

优势：直接使用官方镜像，无需额外维护；注意：需自行同步官方Action的参数变化，因为没有使用封装好的action调用。

方法二：预处理/后处理文件权限（临时 workaround） #

在运行super-linter前后调整工作目录权限，避免root写入的文件无法被非root用户访问：

jobs:
  code-lint:
    runs-on: self-hosted
    steps:
      - uses: actions/checkout@v4
      - name: 开放目录读写权限
        run: sudo chmod -R 777 .  # 或更精细的权限设置，如给当前用户和root授权
      - uses: github/super-linter@v5
        env:
          DEFAULT_BRANCH: main
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - name: 恢复文件归属
        run: sudo chown -R $USER:$USER .

优势：改动最小，直接使用官方Action；劣势：权限设置存在安全风险，且每次运行都需执行权限调整步骤。

方法三：构建自定义super-linter镜像 #

基于官方镜像添加USER指令，构建自己的镜像并使用：

1. 创建自定义Dockerfile：

FROM ghcr.io/super-linter/super-linter:latest
USER 1000:1000  # 替换为目标非root用户的UID:GID

2. 构建并推送到你的容器仓库（如Docker Hub、GitHub Container Registry）
3. 在Workflow中指定自定义镜像：

jobs:
  code-lint:
    runs-on: self-hosted
    steps:
      - uses: actions/checkout@v4
      - uses: github/super-linter@v5
        env:
          DEFAULT_BRANCH: main
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          IMAGE_NAME: your-registry/custom-super-linter:latest  # 你的自定义镜像地址

优势：符合容器安全最佳实践，长期维护方便；劣势：需要同步官方镜像的更新，定期重新构建自定义镜像。

内容的提问来源于stack exchange，提问作者Wolfson