React应用容器化时Dockerfile添加app用户遇EACCES权限报错如何解决

问题根因 #

你之前两套配置分别踩了Docker权限机制的两个常见误区：

• 调整前的流程顺序错了：从创建工作目录、拷贝代码到执行npm install，全流程以root身份操作，最终/app目录、node_modules内所有文件的所有者都是root账号。最后临时切换到app用户时，这个普通账号对root创建的目录没有写权限，启动dev server需要在node_modules下创建编译缓存目录时直接被系统拦截，触发权限拒绝报错。
• 调整后的流程顺序也不对：刚切换到app用户就开始执行应用操作，这个普通账号本身没有在系统根目录下新建文件夹的权限，根本无法创建/app工作目录，更别说往里拷贝文件、执行依赖安装，因此在构建阶段直接触发/app路径访问权限不足的报错。

正确配置逻辑 #

无root运行Node应用的核心原则是：把需要高权限的系统操作和普通权限的应用操作严格拆分，root仅负责初始化系统用户、配置好工作目录的访问权限，所有和应用本身相关的操作全部交给app用户执行，从根源上避免权限不匹配的问题。
调整后的Dockerfile参考：

FROM node:14.16.1-alpine3.13

# 用root身份创建app用户，暂不切换身份
RUN addgroup app && adduser -S -G app app

# 预创建工作目录，将目录所有权直接转交给app用户
# *这一步是之前两套配置都遗漏的核心补漏环节*
WORKDIR /app
RUN chown -R app:app /app

# 权限配置完成后，再切换到低权限app用户执行后续所有操作
USER app

COPY package*.json .
RUN npm install
COPY . .

ENV API_URL=https://api.myapp.com
EXPOSE 3000

实际效果 #

这套配置可以同时解决两个阶段的权限问题：

• 构建阶段：切换到app用户前已经完成了/app目录的权限授权，app用户对工作目录有完整读写权限，可以自由完成文件拷贝、依赖安装操作，不会出现普通用户无法访问/app路径的报错
• 启动阶段：所有代码拷贝、依赖安装全由app用户身份完成，目录和文件的所有者都是app账号，启动dev server时可以自由创建编译缓存目录，不会再出现EACCES权限拒绝的报错
• 运行阶段应用进程不持有root权限，符合容器最小权限的安全要求

内容的提问来源于stack exchange，提问作者Hafiz Muhammad Usman