解决多阶段Dockerfile中Next.js文件上传的权限拒绝错误

核心问题是容器内以非root用户nextjs（UID 1001）运行，但/data/service目录（或挂载的卷）的权限不属于该用户，导致无法写入。下面是具体的解决办法：

方法一：在Dockerfile中预创建目录并分配权限 #

在runner阶段、切换到nextjs用户之前，添加创建目录并修改权限的命令，确保容器内/data/service归nextjs所有：

# 原RUN adduser -S nextjs -u 1001之后，USER nextjs之前添加：
RUN mkdir -p /data/service && chown -R nextjs:nodejs /data/service

修改后的runner阶段片段：

FROM node:14-alpine AS runner

ARG BUILD_BUILDNUMBER
ENV BUILD_BUILDNUMBER=${BUILD_BUILDNUMBER:-undefined}

WORKDIR /app

ENV NODE_ENV production

RUN addgroup -g 1001 -S nodejs
RUN adduser -S nextjs -u 1001

# 新增：创建目录并分配权限
RUN mkdir -p /data/service && chown -R nextjs:nodejs /data/service

# ... 其余原有命令不变

方法二：针对绑定挂载主机目录的权限调整 #

如果你是把主机本地目录挂载到容器/data/service，需要确保主机目录的权限允许容器内nextjs用户（UID 1001）读写：

1. 在主机上创建目录并修改权限：

mkdir -p ./data/service
sudo chown -R 1001:1001 ./data/service

2. 然后执行挂载命令（注意路径格式，本地路径在前，容器路径在后）：

docker run -p 3000:3000 -v ./data/service:/data/service imagename

方法三：使用命名卷并继承容器内权限 #

如果用Docker命名卷存储数据，按方法一修改Dockerfile后，第一次启动容器时，Docker会自动将容器内/data/service的权限同步到命名卷中：

1. 创建命名卷：

docker volume create service-data

2. 挂载运行：

docker run -p 3000:3000 -v service-data:/data/service imagename

补充说明 #

本地Windows环境正常是因为Windows文件系统的权限模型和Linux容器不同，本地运行时你用的Windows用户拥有足够的写入权限；而Docker容器内是Linux环境，严格遵循用户权限控制，非root用户需要明确的目录所有权才能写入。

内容的提问来源于stack exchange，提问作者Ranjeet Thorat