Docker Python SDK exec时非root容器/data目录属组为root问题排查

这个问题是Docker环境差异+Dockerfile指令行为共同导致的，核心原因有两点：

1. COPY --chown的作用范围问题：你Dockerfile里写的COPY --chown=node-red:node-red ./data /data，只会修改从构建上下文复制进容器的子文件、子目录的属主属组，不会改动已经存在的目标父目录/data本身的权限。/data目录是基础镜像nodered/node-red:2.2.2预置的，它本身的权限不会被COPY指令修改。
2. dind环境的卷初始化行为差异：你本地WSL2和CI的dind环境Docker存储驱动、卷初始化逻辑不一致：
   • 本地WSL2默认用overlay2存储驱动，如果配置了/data的卷挂载，初始化新卷时会完整复制镜像内原目录的属主属组，所以/data属组为node-red
   • GitLab dind环境如果没有额外配置存储驱动，会 fallback 到vfs存储驱动，新卷初始化时不会完全继承原目录的属组属性，目录属组会默认 fallback 为root组（GID 0），就出现了你看到的node-red:root结果。

第二个测试能通过和/data目录本身的属组无关：Linux系统下，用户新建文件的默认属组是该用户的主用户组，和父目录属组没有必然联系（只有父目录设置setgid位时才会继承父目录属组）。
node-red用户的主组是node-red，只要node-red用户对/data有写权限（当前/data属主是node-red，目录默认权限为755，属主本身持有写权限），新建的test.txt属组必然是node-red，所以这个测试在任何环境下都能正常通过。

最稳妥、完全规避环境差异的方案是在Dockerfile里显式修正/data目录本身的权限，不要依赖基础镜像默认配置或者卷初始化的继承逻辑：
修改你Dockerfile的prod阶段配置：

FROM build as prod
USER node-red

# Copy assets to `/data` directory
COPY --chown=node-red:node-red ./data /data

# 切到root权限显式修正/data目录本身的属主属组
USER root
RUN chown node-red:node-red /data
# 切回运行用户，保证容器安全
USER node-red

CMD [ "npm", "start" ]

如果你在docker-compose配置里对/data做了宿主机目录绑定挂载，还需要在容器启动脚本里加一行chown node-red:node-red /data，因为绑定挂载的目录权限会直接覆盖镜像内的权限配置。

内容的提问来源于stack exchange，提问作者user4851126