Gitlab CI/CD Artifact权限问题：distroless镜像生成文件无法访问

问题根源 #

Distroless镜像默认以65532:65532（无特权用户）运行，生成的版本文件通常权限为-rw-------（仅所有者可读），后续CI阶段的Runner用户（如gitlab-runner）无访问权限，因此触发权限拒绝报错。

具体解决办法 #

1. 生成文件时显式设置宽松权限 #

在你的Go二进制代码中，写入版本文件时指定0644权限（所有者可读可写，其他用户可读），从根源避免权限问题：

err := os.WriteFile("version.txt", []byte(version), 0644)
if err != nil {
    log.Fatal(err)
}

2. 在CI阶段补全文件权限（适配Distroless无工具环境） #

如果无法修改Go代码，可借助临时容器挂载当前目录修改文件权限（需Runner启用Docker-in-Docker）：

version-generate:
  image: gcr.io/distroless/base-debian12
  script:
    - ./version-calculator # 执行你的版本计算二进制文件
    # 用Alpine镜像临时挂载工作目录修改权限
    - docker run --rm -v "$PWD":/workdir alpine chmod 644 /workdir/version.txt
  artifacts:
    paths:
      - version.txt

3. 在后续阶段调整权限读取 #

若后续阶段使用的镜像支持特权操作，可直接修改文件权限后读取：

use-version:
  script:
    - sudo chmod 644 version.txt
    - cat version.txt

（注：此方法依赖Runner配置sudo权限，非最优解）

最优方案推荐 #

优先选择修改Go代码设置文件权限为0644，该方案无需依赖CI环境配置，直接从生成环节解决权限问题，最稳定可靠。

内容的提问来源于stack exchange，提问作者user1314147