如何防止衍生Dockerfile使用USER root或检测镜像是否存在该操作

我来分享两个针对这个高安全要求场景的可行方案，都是在企业级环境里验证过的实用思路：

要彻底杜绝衍生镜像通过USER root切回root的可能，不能只靠基础镜像里的USER app，得从容器运行时或者基础镜像的启动逻辑上做限制：

• 利用Docker用户命名空间映射：在Docker daemon层面开启用户命名空间，把容器内的root用户映射到宿主机的一个普通用户。这样即使衍生镜像切换到root，容器内的root也没有宿主机的root权限，相当于被“降权”了。配置方法是在/etc/docker/daemon.json里添加：

  {
    "userns-remap": "default"
  }
  

  然后重启Docker daemon即可。这个方法是从底层限制，不管镜像里怎么设USER，容器内的root都没真正的权限。
• 用启动脚本强制切换到app用户：在基础镜像的ENTRYPOINT里设置一个包装脚本，比如用su-exec或者gosu（比su更轻量），强制在启动时切换到app用户，哪怕衍生镜像改了USER也没用。比如基础镜像的Dockerfile里：

  RUN apk add --no-cache su-exec
  ENTRYPOINT ["su-exec", "app", "/path/to/your/app/start.sh"]
  

  这样不管衍生镜像怎么设置USER root，启动时都会被这个ENTRYPOINT强制切回app用户。
• 容器运行时强制指定用户：如果是用Docker命令启动，每次都加--user app参数；如果是用Kubernetes，在Deployment的securityContext里设置：

  securityContext:
    runAsUser: <app用户的UID>
    runAsNonRoot: true
    enforceNonRoot: true
  

  这样Kubernetes会强制容器以指定用户运行，镜像里的USER指令会被覆盖，而且如果镜像试图以root启动，会直接报错。

如果没办法从运行时完全阻止，那我们可以通过检测镜像的构建历史和配置来把关：

• 用docker history查看镜像层指令：执行docker history --no-trunc <镜像ID>，查看每个镜像层的命令，找有没有USER root的记录。比如：

  docker history --no-trunc my-derived-image | grep "USER root"
  

  如果输出有结果，说明这个衍生镜像切换过root。
• 用docker inspect检查镜像默认用户：执行docker inspect <镜像ID> | jq '.[0].Config.User'，如果输出是"root"或者空（空默认是root），说明镜像最后设置的用户是root。
• 用镜像分析工具可视化检查：比如用dive工具，它可以直观地查看镜像的每个层，包括每个层执行的命令，很容易找到USER root的操作。安装后直接运行dive <镜像ID>就行。
• 自动化脚本检测：可以写一个简单的shell脚本，批量检查镜像，还能集成到CI/CD流程里：

  #!/bin/bash
  IMAGE=$1
  # 检查镜像历史是否有USER root
  if docker history --no-trunc $IMAGE | grep -q "USER root"; then
      echo "警告：镜像$IMAGE存在切换回root的操作！"
      exit 1
  fi
  # 检查镜像默认用户是否为root
  DEFAULT_USER=$(docker inspect $IMAGE | jq -r '.[0].Config.User')
  if [ "$DEFAULT_USER" = "root" ] || [ "$DEFAULT_USER" = "" ]; then
      echo "警告：镜像$IMAGE默认以root用户运行！"
      exit 1
  fi
  echo "镜像$IMAGE安全检查通过"
  exit 0
  

内容的提问来源于stack exchange，提问作者xenoid