Dockerfile配置非root用户构建React应用报EACCES错误解决

报错核心是Dockerfile指令顺序错误：
你在切换到普通用户username后，才执行WORKDIR创建/application目录、COPY复制项目文件的操作。Docker构建过程中，WORKDIR自动创建的目录、COPY复制到镜像内的文件，默认属主为root用户，你切换到的普通用户对/application目录没有写入权限，执行npm i时需要读写、更新package-lock.json，就会触发EACCES权限拒绝错误。注释掉用户切换指令后所有操作以root身份执行，自然不会有权限问题，但以root身份运行容器服务存在安全风险，不推荐。

调整指令执行顺序，在root用户阶段完成系统级操作、目录创建、权限分配，再切换到普通用户执行依赖安装、服务启动等业务级操作，修正后的Dockerfile如下：

FROM node:16.13.1-alpine3.15

# root阶段执行全局npm升级
RUN npm i -g npm@8.6.0

# root阶段创建用户组与普通运行用户
RUN addgroup allusers && adduser -S -G allusers username

# 提前创建工作目录，将目录所有权分配给运行服务的普通用户
RUN mkdir -p /application && chown -R username:allusers /application

# 切换到普通用户，后续所有操作、容器运行时都以该非root用户身份执行
USER username

# 设置工作目录，此时目录已属于当前用户，拥有完整读写权限
WORKDIR /application

# 复制依赖配置文件，显式指定文件属主为普通用户
COPY --chown=username:allusers package*.json ./
# 安装项目依赖
RUN npm i

# 复制其余项目源码，显式指定文件属主为普通用户
COPY --chown=username:allusers . .

EXPOSE 3003
CMD ["npm", "start"]

• 所有系统级操作（安装全局依赖、创建用户、修改目录权限、创建系统级路径）必须在切换非root用户前，以root身份执行
• 执行COPY指令时建议加上--chown=<用户名>:<用户组>参数，显式指定复制后文件的属主，避免文件默认属主为root导致普通用户无读写权限
• 不要为了快速解决权限问题给目录设置777权限，该配置会带来任意用户读写执行的安全隐患，仅需给服务运行用户分配对应目录的所有权即可
• 普通用户默认对自身家目录有完整权限，npm缓存、临时文件等生成在用户家目录下的内容不需要额外配置权限

内容的提问来源于stack exchange，提问作者AliAryaie