Node.js应用中无需sudo构建Docker镜像的实现方法

我正在开发一款允许用户在服务器上运行代码的Node.js应用，通过Docker对用户代码进行容器化，以此隔离环境、防止数据窃取或违规操作。目前已经把Docker镜像模板复制到用户的个人应用目录，并编写了如下构建镜像的函数：

const util = require("util");
const exec = util.promisify(require("child_process").exec);

async function buildContainer(path, dockerUser) {
    return await exec(`sudo docker build -t user_app_${dockerUser} ${path}`);
}

但调用该函数时，会像终端手动执行一样要求输入sudo密码，希望找到无需使用sudo即可运行的方法。

解决方法 #

• 将运行Node.js应用的系统用户加入docker用户组
  执行以下命令，给目标用户赋予Docker操作权限：

  sudo usermod -aG docker $USER
  

  把命令中的$USER替换为实际运行Node.js应用的系统用户名。执行完成后，需要重新登录服务器或者重启当前会话，让组权限变更生效。

• 验证权限配置
  重新登录后，执行docker ps命令，如果能正常输出容器列表（即使没有运行中的容器），说明权限已经生效。此时修改你的构建函数，去掉sudo关键字即可：

  const util = require("util");
  const exec = util.promisify(require("child_process").exec);
  
  async function buildContainer(path, dockerUser) {
      return await exec(`docker build -t user_app_${dockerUser} ${path}`);
  }
  

• 安全提醒
  需要注意：将用户加入docker组后，该用户将获得等同于root的系统权限（因为Docker容器可以挂载宿主机目录、执行特权模式操作）。在你的场景中，必须确保运行Node.js应用的用户是可信的，同时要对用户提交的代码做严格的安全校验，避免恶意代码利用Docker权限破坏宿主机环境。

内容的提问来源于stack exchange，提问作者Alexander Hunter