使用docker-compose和非root用户时，如何将node_modules保留在容器内？

嘿，你的三个需求完全可以同时实现，我来帮你梳理具体的配置方案，再聊聊关于node_modules留在容器内的利弊，方便你判断是否适配你的场景～

基于你给出的基础配置，我们可以调整出符合所有要求的docker-compose.yml：

services:
  node:
    image: "node:9"
    user: "node"
    working_dir: /home/node/app
    volumes:
      # 仅挂载项目源码到容器，避免覆盖容器内的node_modules
      - .:/home/node/app
      # 用匿名卷单独存放容器内的node_modules，隔绝主机目录
      - /home/node/app/node_modules
    command: "npm install && npm start" # 根据你的实际启动命令调整
    environment:
      # 这里放你的环境变量，比如NODE_ENV等
      - NODE_ENV=development

逐个拆解目标的实现逻辑 #

1. 用非root用户运行容器 #

你配置的user: "node"已经踩中了最佳实践——官方Node镜像默认就内置了node这个非root用户（UID/GID都是1000），用它运行容器能大幅降低安全风险，这是非常推荐的做法。

另外你设置的working_dir: /home/node/app也很合理，这个目录本身就是node用户的拥有目录，不会出现权限不足的问题。

2. 让node_modules留在容器内（不污染主机） #

上面的配置用了两个volume：

• 第一个挂载主机的项目源码到容器，但第二个匿名卷/home/node/app/node_modules的优先级更高，容器内的node_modules会被这个卷接管，完全不会和主机目录的内容互相干扰。
• 当你执行npm install时，依赖会直接安装到这个容器内的卷里，主机目录里不会生成node_modules，完美避免污染。

如果想保留依赖（比如下次启动容器不想重新执行npm install），可以把匿名卷改成命名卷，这样依赖会被Docker持久化存储：

volumes:
  node_deps:

services:
  node:
    # ...其他配置不变
    volumes:
      - .:/home/node/app
      - node_deps:/home/node/app/node_modules

3. 不使用Dockerfile #

这个配置完全基于官方Node镜像，不需要额外编写Dockerfile，完全满足你的要求。

你担心这是否属于最佳实践，确实需要结合你的工作场景来看：

优点： #

• 彻底隔离主机和容器的依赖环境，避免主机Node版本、依赖版本和容器内不一致导致的奇怪问题。
• 主机工作目录不会被冗余的node_modules占满，保持整洁。
• 用命名卷的话，依赖只需要安装一次，后续启动容器可以直接复用，节省时间。

缺点： #

• 依赖存在Docker的卷里，不像主机目录那样直观，如果你需要查看依赖源码或者临时修改某个包，操作起来不如在主机上方便。
• 如果需要频繁更新依赖，每次都要进入容器执行npm install，或者重启容器时重新运行安装命令，比直接在主机操作稍显繁琐。
• 如果用匿名卷，容器销毁时依赖会被删除；命名卷则需要手动清理，长期下来可能占用不少磁盘空间。

你的三个目标是完全可以同时达成的，其中使用非root用户运行容器是明确的最佳实践。至于node_modules留在容器内是否适合你，取决于你的工作流：如果更看重环境隔离和目录整洁，那这个方案非常合适；如果需要经常操作依赖包，那可能还是把node_modules挂载到主机更顺手。

内容的提问来源于stack exchange，提问作者LShi