如何让Docker容器生成的文件归属主机用户而非root？

要实现容器生成文件归属主机用户且镜像可共享的需求，核心是动态适配主机用户的UID/GID（不同主机用户的UID可能不同，镜像中固定用户无法适配所有场景）。以下是可行方案：

步骤1：创建动态适配的Entrypoint脚本 #

新建entrypoint.sh文件，内容如下：

#!/bin/bash
set -e

# 获取/data目录（挂载卷）的所有者UID和GID
DATA_UID=$(stat -c "%u" /data)
DATA_GID=$(stat -c "%g" /data)

# 动态调整appuser的UID以匹配挂载目录所有者
if [ "$(id -u appuser)" != "$DATA_UID" ]; then
    usermod -u "$DATA_UID" appuser
fi

# 动态调整appuser的GID以匹配挂载目录所有者
if [ "$(id -g appuser)" != "$DATA_GID" ]; then
    groupmod -g "$DATA_GID" appuser
fi

# 确保/data目录权限正确，避免用户ID变更后出现权限问题
chown -R appuser:appuser /data

# 切换到适配后的appuser执行传入的命令
exec gosu appuser "$@"

步骤2：修改Dockerfile #

更新后的Dockerfile如下：

# syntax=docker/dockerfile:1
FROM ubuntu:22.04

# 安装必要工具：gosu用于切换用户，coreutils提供stat，shadow提供usermod/groupmod
RUN apt-get update && apt-get install -y --no-install-recommends \
    gosu \
    coreutils \
    shadow \
    && rm -rf /var/lib/apt/lists/*

# 创建基础用户appuser（初始UID/GID不固定，启动时会动态调整）
RUN useradd -m appuser

VOLUME ["/data"]
WORKDIR "/data"

# 复制并赋予entrypoint脚本执行权限
COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh

ENTRYPOINT ["entrypoint.sh"]

步骤3：构建并运行镜像 #

执行以下命令：

docker build -t image .
docker run -v $(pwd):/data image touch asdf

方案原理说明 #

• 容器启动时，entrypoint脚本会读取挂载卷/data的所有者UID/GID（即主机当前用户的UID/GID）
• 动态修改容器内appuser的UID/GID，使其与主机用户完全匹配
• 通过gosu切换到适配后的appuser执行命令，生成的文件自然归属主机用户
• 镜像无需针对不同用户重新构建，可直接共享使用

为什么之前的方案无效？ #

• 直接使用USER myuser：容器内用户的UID/GID与主机用户不匹配，导致无权限修改挂载卷，生成文件归属容器内用户而非主机用户
• 未适配UID的gosu方案：仅切换到容器内固定用户，UID与主机用户不一致，文件仍归属容器内用户

内容的提问来源于stack exchange，提问作者BillyBologna