Docker自定义非root用户运行Apache遇权限问题，求解决方案与最佳实践

为何Apache启动失败？ #

端口80属于特权端口（1-1023），Linux系统默认仅允许root用户绑定这类端口。你的自定义用户devuser是非root用户，因此无法绑定80端口，导致启动报错。

修复Apache运行问题的两种方案 #

方案1：切换到非特权端口（推荐，更安全） #

将Apache监听端口改为8080（或其他大于1023的端口），具体步骤如下：

1. 修正并完善Dockerfile：

   FROM php:7.2-apache
   
   # 创建用户组与自定义用户（修正原命令的组名错误）
   RUN groupadd -g 999 dev && \
       useradd -r -u 999 -g dev devuser && \
       # 赋予用户必要目录的读写权限
       chown -R devuser:dev /var/www/html/ && \
       chown -R devuser:dev /var/log/apache2/ && \
       chown -R devuser:dev /var/run/apache2/ && \
       mkdir -p /home/devuser/.npm && \
       chown -R devuser:dev /home/devuser/.npm
   
   # 修改Apache监听端口为8080
   RUN sed -i 's/Listen 80/Listen 8080/' /etc/apache2/ports.conf && \
       sed -i 's/:80/:8080/' /etc/apache2/sites-available/000-default.conf
   
   EXPOSE 8080
   
   USER devuser
   
   CMD ["apache2-foreground"]
   

2. 启动容器时映射端口：

   docker run -p 80:8080 <你的镜像名称>
   

   外部访问主机80端口时，会自动转发到容器内的8080端口。

方案2：赋予用户绑定特权端口的能力（不推荐，安全性降低） #

通过Linux能力（Capability）允许非root用户绑定特权端口，但会扩大容器的权限范围：

1. 保持Apache监听80端口，启动容器时添加权限参数：

   docker run -p 80:80 --cap-add=NET_BIND_SERVICE <你的镜像名称>
   

   需确保Dockerfile中已修正用户对日志、运行目录的权限配置。

非root用户构建Docker镜像的最佳实践 #

• 修正用户创建逻辑：原Dockerfile中useradd -g devuser存在错误，应指定已创建的dev组（-g dev），避免用户归属不存在的组。
• 最小权限原则：仅对应用实际需要读写的目录（如/var/www/html、日志目录、PID运行目录）设置用户权限，不要递归修改整个文件系统。
• 优先使用非特权端口：避免使用1-1023范围内的端口，减少权限暴露风险。
• 创建系统用户：使用useradd -r创建无登录shell的系统用户，更适合容器环境的安全性要求。
• 确保进程依赖目录权限：Apache的日志目录（/var/log/apache2）和PID目录（/var/run/apache2）必须可被自定义用户读写，否则会无法启动或记录日志。

内容的提问来源于stack exchange，提问作者prosto.vint