GitLab CI/CD如何让容器内克隆的代码属主为java:java而非root

Dockerfile中指定的USER java仅定义了容器启动后运行默认命令的用户，而GitLab Runner默认会以root身份执行代码克隆操作，不受容器默认用户配置影响，因此克隆生成的代码文件属主为root。

方案1：开启Runner用户克隆特性（推荐） #

GitLab Runner 13.9及以上版本支持FF_RUNNER_USER_CLONE特性标志，开启后会自动使用容器的默认用户执行克隆操作，直接匹配Dockerfile中设置的java用户。
只需在项目的.gitlab-ci.yml中添加如下配置：

variables:
  FF_RUNNER_USER_CLONE: "true"

配置完成后重新运行CI任务，克隆的代码属主就会自动变为java:java。

方案2：修改GitLab Runner配置（全局生效） #

如果你使用私有Runner，可直接修改Runner的config.toml配置文件，在对应Docker Runner的配置段中指定运行用户为java：

[runners.docker]
  # 其他原有配置保持不变
  user = "java"

修改后重启GitLab Runner服务，所有使用该Runner的任务都会以java用户执行克隆和后续命令。

方案3：克隆完成后手动修正权限 #

如果你的Runner版本较低不支持上述特性标志，可在CI任务的before_script阶段手动修改代码目录权限：

1. 若允许任务以root身份执行权限修改步骤，直接在job配置中添加：

your_job:
  image: 你的自定义镜像名称
  before_script:
    - chown -R java:java $CI_PROJECT_DIR
  script:
    # 你的后续业务执行脚本
    - whoami
    - ls -la

2. 若任务默认以java用户运行无chown权限，可先修改Dockerfile添加sudo权限配置：

FROM python:alpine
RUN apk add --no-cache sudo bash
RUN addgroup -S java
RUN adduser -s /bin/bash -S -G java java
# 允许java用户免密执行sudo命令
RUN echo "java ALL=(ALL) NOPASSWD:ALL" >> /etc/sudoers
USER java
WORKDIR /home/java

对应.gitlab-ci.yml的before_script修改为：

before_script:
  - sudo chown -R java:java $CI_PROJECT_DIR

内容的提问来源于stack exchange，提问作者user10664542