Docker中RUN与CMD执行chown解决EACCES权限问题为何效果不同？

核心原因是容器启动时的卷挂载操作，覆盖了你在Dockerfile构建阶段设置的node_modules权限，具体拆解如下：

1. Dockerfile构建阶段的操作仅作用于镜像
   你在Dockerfile中执行RUN chown -R node:node /app/node_modules时，确实修改了镜像内/app/node_modules的所有权为node:node，但这个修改只存在于镜像文件系统中，不会影响容器启动时挂载的卷。

2. docker-compose的匿名卷覆盖了镜像内的node_modules
   你的docker-compose配置中包含- /app/node_modules这个匿名卷：

   volumes:
     - ./:/app
     - /app/node_modules
   

   当容器启动时，Docker会创建这个匿名卷并挂载到容器的/app/node_modules目录，此时：

   • 首次启动时，Docker会将镜像中/app/node_modules的内容复制到匿名卷，但复制后的目录所有权会变成root（Docker默认以root身份管理卷）；
   • 非首次启动时，匿名卷会保留之前的状态，权限不会继承镜像的设置。
     这就导致容器内实际的/app/node_modules所有权是root，而非你在Dockerfile中设置的node:node，触发EACCES权限错误。

3. 进入容器执行chown直接修改了卷内权限
   当你进入容器Shell执行chown -R node:node /app/node_modules时，修改的是匿名卷内的文件权限，这个修改会被持久化到卷中，后续启动容器时会直接使用修改后的权限，因此问题解决。

有两种更优雅的方式避免这个问题，无需每次手动进容器修改权限：

方案1：在Dockerfile中切换到node用户运行应用 #

node镜像内置了node用户，你可以在Dockerfile中加入USER node指令，让应用以node身份运行，同时调整npm install的执行方式：

FROM node:18-alpine

WORKDIR /app
COPY package.json ./

# 先切换到node用户，再执行npm install，文件所有权自然为node:node
USER node
RUN npm install

RUN set NODE_OPTIONS=--max_old_space_size=4096

COPY ./ ./
    
CMD ["npm", "run", "start"]

这样构建的镜像中，node_modules的所有权就是node:node，容器启动时匿名卷复制的内容也会保留这个权限。

方案2：在docker-compose中指定容器运行用户 #

如果不想修改Dockerfile，可以在docker-compose中添加user指令，让容器以node用户启动：

version: '3'
services:
  express-server:
    container_name: react-dc
    restart: always
    build: .
    command: npm run start
    ports:
      - "5000:5000"
    volumes:
      - ./:/app
      - /app/node_modules
    # 指定容器以node用户运行
    user: "node"

首次启动前可删除旧的匿名卷，让Docker重新复制权限正确的node_modules：

# 停止并删除容器
docker-compose down
# 删除未使用的匿名卷（谨慎操作，会清理所有未命名卷）
docker volume prune
# 重新启动容器
docker-compose up -d

内容的提问来源于stack exchange，提问作者Kaloyan Stamatov