Docker：启动时需root执行脚本，以www-data运行Apache的问题求解

针对你遇到的问题，这里有几个实用的解决思路：

方法一：使用gosu工具安全切换用户 #

gosu是专门为容器场景设计的轻量级用户切换工具，它不需要目标用户拥有登录shell，完美适配www-data这类非登录用户的场景：

1. 在Dockerfile中安装gosu（以Debian/Ubuntu基础镜像为例）：

FROM php:${TAG_SIAM_PHP}
# 其他构建步骤...
RUN apt-get update && apt-get install -y --no-install-recommends gosu && rm -rf /var/lib/apt/lists/*
EXPOSE 80
EXPOSE 443
# 保持root启动entrypoint
ENTRYPOINT ["bash", "/docker-entrypoint.sh"]

2. 修改你的docker-entrypoint.sh脚本，先执行权限配置再切换用户启动Apache：

#!/bin/bash
# 执行setfacl配置最小权限
setfacl -R -m u:www-data:rwx /path/to/required/dirs
# 切换到www-data用户启动Apache，exec确保Apache成为容器PID 1
exec gosu www-data apache2-foreground

方法二：用su的参数绕过非登录用户限制 #

如果不想额外安装工具，可以通过su的-s参数指定shell，直接切换到www-data运行Apache：

1. 修改Dockerfile，不提前设置USER，保持root启动entrypoint：

FROM php:${TAG_SIAM_PHP}
# 其他构建步骤...
EXPOSE 80
EXPOSE 443
ENTRYPOINT ["bash", "/docker-entrypoint.sh"]

2. 更新entrypoint脚本：

#!/bin/bash
# 执行setfacl权限配置
setfacl -R -m u:www-data:rwx /path/to/required/dirs
# 指定bash作为www-data的执行shell，绕过非登录用户限制
exec su -s /bin/bash www-data -c "apache2-foreground"

方法三：提前固化基础权限（减少启动时的Root操作） #

如果部分目录的权限是固定的，可以在Dockerfile构建阶段就设置好，只在entrypoint中处理动态生成资源的权限：

FROM php:${TAG_SIAM_PHP}
# 其他构建步骤...
# 提前设置固定目录的权限
RUN setfacl -R -m u:www-data:rwx /var/www/html /path/to/fixed/dirs
EXPOSE 80
EXPOSE 443
# 提前切换到www-data，entrypoint仅处理动态权限
USER www-data
ENTRYPOINT ["bash", "/docker-entrypoint.sh"]

内容的提问来源于stack exchange，提问作者Mdstn