Dockerfile中ENV无法为非root用户覆盖$PATH的原因及解决方法

我在Ubuntu Docker镜像中为非root用户devp安装了Miniconda，安装成功但无法将conda路径添加到该用户的$PATH环境变量中。尝试用Docker的ENV指令实现，Dockerfile如下：

FROM ubuntu:20.04

RUN apt-get update && apt-get install -y openssh-server sudo

RUN useradd -rm -d /home/devp -s /bin/bash -g root -G sudo -u 1000 devp && \
 echo 'devp:devp11' | chpasswd && \
 adduser devp sudo

WORKDIR /home/devp

USER devp
RUN wget \
    https://repo.anaconda.com/miniconda/Miniconda3-latest-Linux-x86_64.sh \
    && mkdir ~/.conda \
    && bash Miniconda3-latest-Linux-x86_64.sh -b \
    && rm -f Miniconda3-latest-Linux-x86_64.sh 
ENV PATH=/home/devp/miniconda3/bin:${PATH}
ARG PATH=/home/devp/miniconda3/bin:${PATH}
#RUN conda env create --quiet -n env1 --file env1.yml

USER root

RUN mkdir /var/run/sshd
RUN service ssh start
EXPOSE 22

CMD ["/usr/sbin/sshd","-D"]

通过以下命令运行容器：

docker run --name img -p 10022:22 -d img:tag

root用户的$PATH已被正确覆盖：

/home/devp/miniconda3/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

但执行ssh devp@x.x.x.x -p 10022 'echo $PATH'时，非root用户的$PATH未被覆盖：

/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games:/snap/bin

我有两个问题：

1. 如何为非root用户覆盖$PATH？
2. 为什么ENV对非root用户无效？

问题解答 #

2. 为什么ENV对非root用户无效？ #

Docker的ENV指令设置的是容器全局环境变量，但通过SSH登录非root用户时，会启动登录shell，此时系统会加载用户的shell配置文件（如~/.bashrc、~/.profile）以及系统级的/etc/profile，这些文件中的PATH配置会覆盖Docker设置的全局环境变量。Ubuntu默认的bash登录shell会优先读取这些配置文件里的PATH，导致全局ENV被覆盖。

1. 如何为非root用户覆盖$PATH？ #

推荐以下几种实用方法：

方法1：写入用户的shell配置文件

在安装Miniconda的RUN指令末尾，追加写入devp用户的~/.bashrc，确保每次登录shell都加载conda路径：

USER devp
RUN wget \
    https://repo.anaconda.com/miniconda/Miniconda3-latest-Linux-x86_64.sh \
    && mkdir ~/.conda \
    && bash Miniconda3-latest-Linux-x86_64.sh -b \
    && rm -f Miniconda3-latest-Linux-x86_64.sh \
    && echo 'export PATH="/home/devp/miniconda3/bin:$PATH"' >> ~/.bashrc

方法2：写入系统级profile（可选）

如果希望所有用户都能使用conda，可以修改系统级的/etc/profile，但注意这会让root用户也使用devp目录下的conda，可能存在权限风险：

USER root
RUN echo 'export PATH="/home/devp/miniconda3/bin:$PATH"' >> /etc/profile

方法3：临时使用非登录shell（仅测试用）

通过SSH指定启动非登录shell，跳过profile加载，但需要每次登录都额外设置，不适合日常使用：

ssh devp@x.x.x.x -p 10022 -t 'bash -i -c "echo $PATH"'

内容的提问来源于stack exchange，提问作者mwck46