Azure Pipeline构建Docker镜像时无法创建.npmrc报Permission denied的问题

• 本地和Azure Pipeline的Docker构建引擎默认行为不一致：本地未启用BuildKit时，WORKDIR指令自动创建的嵌套目录属主会继承当前指令执行的用户身份；Azure托管代理默认强制开启BuildKit，该模式下WORKDIR自动创建的不存在嵌套目录，会强制将目录属主设置为root，不会继承之前切换的node用户配置，同时BuildKit对携带敏感构建参数的指令有额外的文件系统写入拦截，进一步放大了权限不足的报错表现。
• 你当前Dockerfile的顺序中，先执行USER node切换用户，再执行WORKDIR /home/node/app创建不存在的目录，BuildKit创建的这个app目录实际属主为root，node用户没有写入权限，因此尝试生成.npmrc文件时直接被系统拦截。
• 冗余逻辑放大了问题：你在生成带Token的.npmrc之前，已经无鉴权执行了一次npm ci --only=production，这一步本身就无法拉取需要私有源鉴权的依赖，属于无意义的重复构建步骤。

• 调整Dockerfile的目录权限设置顺序，覆盖BuildKit的默认属主配置，调整后的核心逻辑参考如下：

FROM node:14-slim AS Build
ARG NPM_TOKEN
# 不提前切换用户，先配置工作目录
WORKDIR /home/node/app
# 显式设置目录属主为node用户，解决BuildKit默认创建root属主目录的问题
RUN chown -R node:node /home/node/app
# 完成权限配置后再切换为node用户
USER node
COPY --chown=node:node package*.json ./
# 移除无鉴权的冗余npm ci步骤
# 生成.npmrc时使用明确有node用户写权限的家目录路径，避免工作目录权限漂移
RUN echo "//registry.npmjs.org/:_authToken=$NPM_TOKEN" > /home/node/.npmrc && \
    npm ci --only=production && \
    rm -f /home/node/.npmrc

• 不建议通过关闭BuildKit来对齐本地构建行为：Azure环境默认开启BuildKit的敏感信息隔离机制，能避免NPM_TOKEN泄露到镜像层，强制设置DOCKER_BUILDKIT=0关闭该机制会带来敏感信息泄露风险。

内容的提问来源于stack exchange，提问作者rStorms