Alpine Linux下Spring Boot+Logback写入/var/log的权限问题

Alpine系统中/var/log目录默认归root用户所有，权限通常为drwxr-xr-x，非root用户仅拥有读和执行权限，没有写入权限——这就是你执行touch test.txt和Logback写入日志时触发权限拒绝的核心原因。你配置的doas未生效，是因为myuser并未加入wheel组；而且即便配置正确，让应用通过提权方式写入系统日志目录，也不符合容器化的最小权限安全原则。

方案1：创建专属日志目录并授权（推荐） #

在Dockerfile中以root身份创建一个归myuser所有的日志子目录，避免直接修改系统目录权限：

RUN apk add doas
RUN adduser -D myuser && addgroup mygroup && addgroup myuser mygroup
# 创建专属日志目录并修改归属
RUN mkdir -p /var/log/myapp && chown myuser:mygroup /var/log/myapp
RUN echo 'myuser:123' | chpasswd
RUN echo 'permit persist :wheel' > /etc/doas.d/doas.conf

USER myuser

随后修改Logback配置，将日志路径改为/var/log/myapp/log.txt即可，myuser拥有该目录的完全权限，能正常写入日志。

方案2：输出日志到控制台（容器最佳实践） #

容器化应用更推荐将日志输出到标准输出（stdout）和标准错误（stderr），而非写入本地文件——这样既可以直接通过docker logs查看日志，也能无缝集成ELK、Loki等日志收集系统，同时完全规避权限问题。
修改Logback配置，启用ConsoleAppender示例：

<appender name="CONSOLE" class="ch.qos.logback.core.ConsoleAppender">
    <encoder>
        <pattern>%d{yyyy-MM-dd HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %msg%n</pattern>
    </encoder>
</appender>

<root level="info">
    <appender-ref ref="CONSOLE"/>
</root>

这种方式无需调整任何目录权限，非root用户可直接输出日志到控制台。

方案3：修正doas配置（不推荐） #

如果坚持要写入/var/log目录，需先将myuser加入wheel组并调整doas配置，但这种方式会让应用获得root权限，违背非root运行的安全初衷：

RUN apk add doas
RUN adduser -D myuser && addgroup mygroup && addgroup myuser mygroup
# 将myuser加入wheel组
RUN addgroup myuser wheel
RUN echo 'myuser:123' | chpasswd
# 允许wheel组用户以root身份执行任意命令
RUN echo 'permit persist :wheel as root' > /etc/doas.d/doas.conf

USER myuser

启动应用时需添加doas前缀：doas java -jar your-app.jar，但不建议在生产环境使用该方案。

内容的提问来源于stack exchange，提问作者Ryan.Bartsch