如何在Dockerfile中以非root用户运行Python脚本？

要让你的Python脚本以非root用户运行，需要在Dockerfile中添加创建非root用户、调整权限并切换用户的步骤，同时注意端口权限限制，以下是修改后的完整配置：

FROM python:3.9

# 创建非root用户，--create-home为用户生成home目录
RUN useradd --create-home appuser

# 设定工作目录为用户home目录，避免直接使用根目录降低权限风险
WORKDIR /home/appuser

# 先复制依赖清单，利用Docker缓存优化构建流程
COPY requirements.txt .
RUN pip install --no-cache-dir --upgrade -r requirements.txt

# 复制剩余项目代码
COPY . .

# 调整工作目录下所有文件的归属权，确保非root用户可正常访问
RUN chown -R appuser:appuser /home/appuser

# 切换到非root用户执行后续命令
USER appuser

# 改用1024以上的非特权端口（非root用户默认无法绑定1024以下端口）
CMD ["uvicorn", "api:app", "--host", "0.0.0.0", "--port", "8000"]

关键细节说明： #

• 非root用户创建：通过useradd创建独立用户，避免容器以root身份运行带来的安全隐患，比如误操作宿主机文件、被 exploit 后获取更高权限。
• 权限调整：由于COPY指令默认以root身份复制文件，必须通过chown将文件权限转移给目标用户，否则非root用户会因权限不足无法读取脚本或依赖包。
• 端口选择：Linux系统中1024以下属于特权端口，非root用户默认无权绑定，因此优先改用8000这类非特权端口；如果必须使用80端口，可在启动容器时添加--cap-add=NET_BIND_SERVICE参数赋予绑定特权，但不推荐此方式。
• 构建缓存优化：先复制requirements.txt并安装依赖，能让Docker缓存依赖安装层，后续仅修改代码时无需重新安装依赖，加快构建速度。

内容的提问来源于stack exchange，提问作者Montana