如何解决Dockerfile构建Node.js项目时/app目录权限被拒绝的问题

问题原因 #

该报错是Linux宿主机Docker的权限规则和Windows不一致导致的，核心问题是容器内的app用户没有/app目录的写入权限，具体触发原因有两个：

1. Docker默认的COPY指令会将文件以root:root身份复制到容器内，即便你提前给/app目录设置了app:app权限，复制进来的文件所有者依然是root，导致后续npm install写入node_modules时权限不足
2. 如果你在docker-compose.yml中配置了本地目录绑定挂载到容器的/app路径，Ubuntu宿主机上的项目目录权限和容器内app用户的UID/GID不匹配，也会触发权限报错

Windows环境的Docker桌面版对Linux容器的绑定挂载做了特殊处理，默认忽略Linux权限校验，所以可以正常运行。

解决方案 #

你可以任选以下一种方案修复：

• 方案一：给COPY指令添加所有者参数，无需调整Dockerfile顺序
  将Dockerfile中的COPY指令修改为指定app用户为所有者：

  COPY --chown=app:app package*.json ./
  RUN npm install
  COPY --chown=app:app . .
  

• 方案二：调整Dockerfile执行顺序，所有文件操作完成后再切换普通用户
  调整后的完整Dockerfile如下：

  FROM node:14.16.0-alpine3.13
  
  RUN addgroup app && adduser -S -G app app
  RUN mkdir /app
  
  WORKDIR /app
  # root身份下完成文件复制、依赖安装
  COPY package*.json ./
  RUN npm install
  COPY . .
  
  # 统一修改目录权限后再切换用户
  RUN chown -R app:app /app
  USER app
  
  EXPOSE 80
  
  CMD ["npm", "start"]
  

• 方案三：针对绑定挂载的场景
  如果你用了本地目录挂载到容器/app，执行以下命令修改宿主机项目目录权限即可（alpine系统静态用户默认UID为1001）：

  sudo chown -R 1001:1001 你的本地项目目录路径
  

内容的提问来源于stack exchange，提问作者Milad Mohammadi