Docker中非root用户如何避免修改node_modules目录的权限？

方案1：直接修改chown逻辑跳过node_modules目录 #

替换entrypoint.sh中原有的全局递归chown命令，使用find指令排除node_modules目录：
把原来的

[ -d "/node-servers" ] && chown -v -R node /node-servers

替换为：

if [ -d "/node-servers" ]; then
  # 遍历/node-servers目录，跳过node_modules目录，其余文件修改所有者为node
  find /node-servers -path "/node-servers/node_modules" -prune -o -exec chown -v node:node {} +
fi

这个命令会直接跳过整个node_modules目录的扫描和权限修改，仅处理项目源代码文件，耗时会大幅缩短。

方案2：Dockerfile分层优化，提前固定node_modules权限 #

调整Dockerfile的构建顺序，把依赖安装和代码复制分层处理，在构建阶段就完成node_modules的权限配置，后续启动时完全不需要修改该目录权限：
修改后的Dockerfile核心逻辑如下：

# 原有基础镜像、gosu安装逻辑保持不变
FROM node:10.24-alpine
# ... 省略gosu安装的原有代码 ...

# 先复制依赖声明文件
WORKDIR /node-servers
COPY package*.json ./

# 安装依赖后直接修改node_modules权限为node用户
RUN apk add --update openssl ca-certificates && \
    apk --no-cache add shadow && \
    apk add libcap && \
    npm install -g && \
    chown -R node:node /node-servers/node_modules && \
    setcap cap_net_bind_service=+ep /usr/local/bin/node

# 再复制剩余项目代码
COPY ./ /node-servers
RUN chmod +x /node-servers/entrypoint.sh

这种方式下node_modules的权限在镜像构建阶段就已经固定，启动时仅需要修改新增的源代码文件权限，进一步降低启动耗时。

方案3：开发环境挂载卷场景补充优化 #

如果是本地开发时需要挂载源码卷的场景，可以给node_modules单独配置匿名卷，避免本地目录覆盖容器内的node_modules，也不需要对该目录做权限修改：
启动容器时增加参数：-v /node-servers/node_modules，或者在docker-compose.yml中对应volume配置里增加该匿名卷声明即可。

内容的提问来源于stack exchange，提问作者Connor