Dockerfile基于Alpine基础镜像时，如何添加非root用户运行应用？

在基于Alpine的Docker镜像里创建非root用户其实很简单，Alpine自带的adduser/addgroup工具（基于busybox）就能搞定，和Debian/Ubuntu系的useradd用法略有不同，下面是具体步骤和示例：

核心指令：创建用户和组 #

Alpine推荐用adduser来创建应用用户，搭配addgroup创建对应组（也可以直接用adduser的参数关联组）：

基础版（创建系统用户/组） #

# 创建名为appgroup的系统组，再创建属于该组的系统用户appuser
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

参数说明：

• -S：创建系统用户/组，这类用户没有登录shell、默认无家目录（可指定），专门用来运行后台应用，能减少攻击面。
• -G：指定用户所属的组。

指定UID/GID版（避免宿主机用户冲突） #

如果需要固定用户的UID和GID（防止和宿主机用户ID冲突导致权限问题），可以加上-u和-g参数：

# 创建GID为1001的系统组，再创建UID为1001、属于该组的系统用户
RUN addgroup -g 1001 -S appgroup && adduser -u 1001 -S appuser -G appgroup

完整Dockerfile示例（以Node.js应用为例） #

下面是一个完整的示例，包含依赖安装、权限配置、切换用户的全流程：

FROM alpine:3.18

# 安装应用依赖（root用户执行，因为apk/npm需要权限）
RUN apk update && apk add --no-cache nodejs npm

# 创建非root用户组和用户
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

# 创建应用目录
RUN mkdir -p /app

# 复制依赖配置文件，先装依赖（利用Docker缓存优化构建）
COPY package*.json /app/
RUN npm ci --only=production

# 复制应用代码到容器
COPY . /app/

# 给appuser授权应用目录的读写权限
RUN chown -R appuser:appgroup /app

# 切换到非root用户，后续指令都以该用户执行
USER appuser

# 设置工作目录
WORKDIR /app

# 启动应用
CMD ["node", "index.js"]

关键注意事项 #

1. 权限提前配置：切换到非root用户前，一定要确保应用需要读写的目录（比如日志目录、临时文件目录）已经授权给该用户，否则运行时会出现权限拒绝错误。
2. 避免不必要的root操作：除了安装依赖、修改权限这类必须root的操作，其他步骤尽量以非root用户执行。
3. 系统用户vs普通用户：如果你的应用不需要登录shell，推荐用-S参数创建系统用户，进一步降低安全风险。

内容的提问来源于stack exchange，提问作者Daniel Gartmann