如何阻止Docker Compose容器以root身份创建文件？

要让容器生成的文件与主机用户权限一致，只需通过动态创建匹配主机用户UID/GID的非root用户运行应用，以下是无需额外手动操作、仅用docker compose up就能运行的完整配置：

1. 创建entrypoint脚本 #

在项目根目录创建entrypoint.sh，用于容器启动时动态创建用户并切换权限：

#!/bin/sh

# 从环境变量获取主机用户UID/GID，默认使用1000（多数系统普通用户UID）
USER_ID=${USER_ID:-1000}
GROUP_ID=${GROUP_ID:-1000}

# 创建对应GID的用户组（不存在则创建）
if ! getent group "$GROUP_ID" > /dev/null; then
    groupadd -g "$GROUP_ID" appgroup
fi

# 创建对应UID的用户（不存在则创建）
if ! getent passwd "$USER_ID" > /dev/null; then
    useradd -u "$USER_ID" -g "$GROUP_ID" -m appuser
fi

# 确保应用数据目录权限正确
chown -R "$USER_ID:$GROUP_ID" /app/data

# 切换到非root用户执行后续命令
exec su-exec "$USER_ID:$GROUP_ID" "$@"

2. 修改Dockerfile #

添加安装su-exec（轻量用户切换工具）、复制entrypoint脚本并设置为容器入口：

FROM node:18.13.0

ENV WORK_DIR=/app
RUN mkdir -p ${WORK_DIR}
WORKDIR ${WORK_DIR}

# 安装su-exec工具（debian系镜像适用）
RUN apt-get update && \
    apt-get install -y --no-install-recommends su-exec && \
    rm -rf /var/lib/apt/lists/*

RUN mkdir ${WORK_DIR}/data
RUN chmod -R 755 ${WORK_DIR}/data

COPY package*.json ./

RUN npm ci

COPY . .

# 复制entrypoint脚本并赋予执行权限
COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh

# 设置容器启动入口
ENTRYPOINT ["entrypoint.sh"]

3. 调整docker-compose.yml #

添加环境变量自动传递主机当前用户的UID/GID，确保容器内用户与主机匹配：

version: '3.8'

services:
  fetch:
    container_name: fetch
    build: .
    command: sh -c "npx prisma migrate deploy && npm start"
    restart: unless-stopped
    depends_on:
      - postgres
    volumes:
      - ./data:/app/data:z
    # 自动获取主机当前用户的UID/GID
    environment:
      - USER_ID=${USER_ID:-$(id -u)}
      - GROUP_ID=${GROUP_ID:-$(id -g)}

运行验证 #

直接执行命令启动容器：

docker compose up -d

容器启动后，./data目录下新生成的文件会自动使用主机当前用户的权限，主机可直接操作，无需手动修改权限。

内容的提问来源于stack exchange，提问作者Kairu