GitLab-CI非root运行Pytest遇命令不存在、执行超时问题求助

两个测试任务失败和PostgreSQL、tox本身逻辑无关，核心是两个配置疏漏：

• tox: not found、python3 not found报错：最新版python:latest基础镜像基于Debian 12构建，遵循PEP668规范默认禁止直接往系统Python环境安装第三方包，非root用户直接执行pip install会被系统拦截，你构建镜像时的装包步骤实际没有执行成功，只是构建日志里的报错没被注意到；加上你没有给自定义镜像设置固定的项目工作目录，切换到普通用户后默认进入用户家目录，进一步加剧了路径识别异常。
• black --check .执行超时：docker run启动的容器是完全隔离的环境，你运行命令时没有把GitLab CI作业拉取到的本地项目代码挂载进容器内部，容器里没有任何待检查的项目文件，black扫描空目录/无权限目录时会触发异常等待，最终超时被系统强制终止。

另外你最初遇到的pg_ctl禁止root用户运行的问题，完全不需要用Docker-in-Docker构建自定义镜像这么重的方案，Linux系统自带的工具就能实现无交互切换非root用户，配置更简单，CI执行速度也更快。

直接复用最初的python基础镜像，用系统自带的runuser命令无交互切换普通用户执行测试，省掉镜像构建、推送、拉取的额外开销，CI运行效率更高。

配置调整 #

修改.gitlab-ci.yml内容如下，原有tox.ini不需要任何改动：

image: python:latest

stages:
  - test

variables:
  PIP_CACHE_DIR: "$CI_PROJECT_DIR/.cache/pip"

# 配置pip缓存，减少重复下载依赖的时间
cache:
  paths:
    - .cache/pip

before_script:
  # 安装PostgreSQL依赖和必要系统工具
  - apt update && apt -y install --no-install-recommends postgresql postgresql-contrib libpq5
  # 创建用于执行测试的普通用户
  - useradd -m test_user
  # 给普通用户分配项目目录权限
  - chown -R test_user:test_user $CI_PROJECT_DIR

unit-test:
    stage: test
    tags:
        - docker
    script:
        # runuser是root用户下无交互切换用户的专用工具，不需要输入密码
        - runuser -u test_user -- pip install tox
        - runuser -u test_user -- tox

formatting-check:
    stage: test
    tags:
      - docker
    script:
      - runuser -u test_user -- pip install black
      - runuser -u test_user -- black --check .

说明：runuser和需要交互输密码的su不同，是root环境下专门用来切换其他用户执行命令的系统工具，完全适配CI无交互场景，从根源解决PostgreSQL组件不允许root运行的限制。

如果你需要保留提前构建自定义镜像的流程，可以针对现有配置的三个问题逐一修复：

第一步：修复Dockerfile配置 #

解决PEP668装包拦截、工作目录缺失的问题：

FROM python:latest
# 安装系统依赖，安装完成后清理apt缓存减小镜像体积
RUN apt update && apt -y install --no-install-recommends postgresql postgresql-contrib libpq5 && rm -rf /var/lib/apt/lists/*
# 创建普通执行用户
RUN useradd -m exec_user
# 创建固定项目工作目录，给普通用户分配权限
RUN mkdir -p /app && chown -R exec_user:exec_user /app
WORKDIR /app
# 切换到普通用户
USER exec_user
# 配置环境变量：把用户级pip安装路径加入PATH，加参数绕过PEP668的系统环境保护
ENV PATH="/home/exec_user/.local/bin:$PATH" \
    PIP_BREAK_SYSTEM_PACKAGES=1
# 提前安装CI需要的工具
RUN pip install --no-cache-dir black tox

第二步：修复CI任务的docker run命令 #

运行容器时必须把CI作业的本地项目目录挂载到容器的工作目录，让容器能访问到项目代码：

# formatting-check任务脚本调整为
formatting-check:
  stage: test
  script:
    - docker pull $CONTAINER_TEST_IMAGE
    # 把CI当前项目目录挂载到容器的/app工作目录，和Dockerfile里的WORKDIR对应
    - docker run -v "$CI_PROJECT_DIR:/app" $CONTAINER_TEST_IMAGE black --check .

# unit-test任务脚本调整为
unit-test:
  stage: test
  script:
    - docker pull $CONTAINER_TEST_IMAGE
    - docker run -v "$CI_PROJECT_DIR:/app" $CONTAINER_TEST_IMAGE tox

注意：如果你的GitLab Runner用Docker执行器，需要提前确认Runner配置开放了宿主机目录挂载权限，否则会触发挂载报错。

• 用DinD方案时可以把Python依赖提前打包进镜像，减少每次测试时重复下载依赖的时间，进一步提升CI速度；
• 如果测试需要启动PostgreSQL服务端，更推荐用GitLab CI的services字段启动独立的PostgreSQL容器，不需要在任务镜像里安装PostgreSQL服务端，pytest-postgresql支持直接连接远程数据库实例，配置维护成本更低。

内容的提问来源于stack exchange，提问作者CodingTil