如何解决Docker内外UID一致但文件权限不匹配报错问题

• Linux系统的文件权限校验仅识别UID/GID数字，不识别用户名。你在Dockerfile中通过useradd --system user创建的是系统用户，这类用户默认分配的UID范围为100~999，和启动容器时传入的--user 1000:1000完全不匹配。你之前将gem5目录递归chown给了低UID的系统用户user，启动后用UID=1000的用户访问这些目录，自然没有写入权限。
• 挂载目录显示属主为docker，是因为你使用的基础镜像中提前创建了名为docker、UID=1000的用户。你挂载的宿主机目录本身属主就是宿主机上UID=1000的用户，进入容器后UID匹配到了基础镜像自带的docker用户，因此可以正常读写，这部分权限和你自己创建的user用户没有关系。
• Git的报错来自2.35.2版本后新增的安全校验规则：如果Git仓库目录的属主UID和当前执行Git命令的用户UID不一致，Git会直接判定该仓库为不安全仓库，拦截所有操作。
• 额外问题：原Dockerfile中切换到root用户执行命令时，所有命令前加sudo属于冗余操作，RUN指令默认以root身份执行，额外加sudo无意义还可能引入不可预期的权限问题；原启动命令中programs目录挂载行末尾缺少续行反斜杠，会导致后续挂载参数失效。

1. 修正Dockerfile #

核心修改点：创建用户时直接指定UID/GID为1000，和宿主机默认用户ID对齐；提前配置Git安全目录规则；移除冗余的sudo前缀。修正后的Dockerfile内容如下：

FROM matthewfeickert/docker-python3-ubuntu:latest

USER root
# 创建UID/GID固定为1000的普通用户，和宿主机默认用户ID对齐
RUN groupadd -g 1000 user && \
    useradd -u 1000 -g 1000 -m user && \
    # 配置免密sudo权限，方便容器内调试
    echo "user ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/user

# 配置pip国内源
RUN pip config set global.index-url https://pypi.tuna.tsinghua.edu.cn/simple

RUN set -x; \
        apt-get update \
        && DEBIAN_FRONTEND=noninteractive apt-get install -y  build-essential git-core m4 zlib1g zlib1g-dev libprotobuf-dev protobuf-compiler libprotoc-dev libgoogle-perftools-dev swig xz-utils gdb git \
        && python3  -m pip install scons==3.0.1 \
        && python3  -m pip install six  \
        && apt-get clean

# 配置Git规则：替换GitHub拉取地址，提前标记gem5目录为安全仓库
RUN git config --global url."https://hub.fastgit.xyz/".insteadOf "https://github.com/" && \
    git config --global --add safe.directory /usr/local/src/gem5

WORKDIR /usr/local/src
RUN git clone https://github.com/gem5/gem5.git
# 将gem5目录权限递归分配给UID=1000的user用户
RUN chown user:user /usr/local/src/gem5 -R

USER user
WORKDIR /usr/local/src/gem5/

2. 修正启动命令 #

补全缺失的续行反斜杠，修正后启动命令如下：

docker run  -it --rm  \
-v my_dir/runScripts:/usr/local/src/gem5/runScripts   \
-v my_dir/gem5/src:/usr/local/src/gem5/src  \
-v my_dir/gem5/configs:/usr/local/src/gem5/configs \
-v my_dir/gem5/programs:/usr/local/src/gem5/programs \
-v my_dir/gem5/build:/usr/local/src/gem5/build  \
-v my_dir/gem5/results:/usr/local/src/gem5/results \
-v my_dir/gem5/update.sh:/usr/local/src/gem5/update.sh  \
--security-opt seccomp=unconfined --user 1000:1000 gerrie/gem5:v1  "/bin/bash"

可选优化：适配任意宿主机UID #

如果你的宿主机用户UID不是默认的1000（部分Linux发行版默认UID从1001开始计数），可以将UID/GID做成构建参数，构建时自动读取宿主机用户ID，无需硬编码：

1. 在Dockerfile开头新增构建参数定义：

ARG HOST_UID=1000
ARG HOST_GID=1000

2. 将创建用户的逻辑替换为读取构建参数：

RUN groupadd -g ${HOST_GID} user && \
    useradd -u ${HOST_UID} -g ${HOST_GID} -m user && \
    echo "user ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/user

3. 构建镜像时传入当前宿主机用户的UID/GID：

docker build --build-arg HOST_UID=$(id -u) --build-arg HOST_GID=$(id -g) -t gerrie/gem5:v1 .

按以上配置重新构建镜像、启动容器后，容器内外用户权限完全对齐，目录写入、Git操作均可正常执行。

内容的提问来源于stack exchange，提问作者Gerrie