Distroless镜像中USER nobody与USER nonroot的其他差异咨询

先看Distroless镜像自带的用户信息：

> docker run --rm --entrypoint cat gcr.io/distroless/nodejs:debug /etc/passwd
root:x:0:0:root:/root:/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/sbin/nologin
nonroot:x:65532:65532:nonroot:/home/nonroot:/sbin/nologin

除了nobody没有家目录之外，两者还有这些核心区别：

• UID/GID的定位不同：nobody的UID/GID是65534，这是Linux系统通用的“匿名无权限”用户ID，很多系统工具会默认对这个ID做严格的权限限制；nonroot的65532是Distroless专门为运行应用创建的非特权用户ID，属于常规非特权用户范畴。
• 权限范围差异：nobody用户几乎是完全无权限的身份，甚至对/tmp这类公共临时目录的写入权限都可能被系统限制；nonroot则是标准非特权用户，拥有自身/home目录的完整权限，对公共目录也有常规读写权限，更适配应用运行的需求。
• 应用兼容性区别：不少应用会检查运行用户是否有合法家目录、是否属于常规非特权ID范围，用nobody运行时容易触发权限报错或配置失效；nonroot是专门为应用运行设计的，兼容性更好。
• 可维护性差异：用nonroot时，你可以在构建镜像时方便地为它配置文件权限、绑定环境变量（比如默认HOME指向/home/nonroot）；而nobody因为没有家目录，依赖家目录的应用配置会直接失效，排查问题也更麻烦。

内容的提问来源于stack exchange，提问作者Will