使用Gradle bootBuildImage构建Spring Boot镜像启动遇权限拒绝问题

当使用Spring Boot的bootBuildImage构建基于Kotlin的应用Docker镜像时，启动出现权限拒绝错误，核心原因是annotations-23.0.0.jar权限为700，镜像默认用户1002（属于组1000）无法读取该文件，且部分依赖文件所有者为不存在的1001用户。以下是具体解决思路：

1. 通过Gradle构建任务强制修正依赖权限 #

在项目的build.gradle.kts中添加任务，在打包前调整WEB-INF/lib下所有文件的权限，确保组用户拥有读权限：

tasks.bootJar {
    doLast {
        fileTree("$buildDir/libs/${archiveFileName.get()}/WEB-INF/lib").forEach { file ->
            file.setReadable(true, false) // 给所有用户添加读权限
            file.setExecutable(true, false) // 添加执行权限
        }
    }
}

若只想处理特定依赖，可单独指定：

tasks.bootJar {
    doLast {
        val problematicJar = file("$buildDir/libs/${archiveFileName.get()}/WEB-INF/lib/annotations-23.0.0.jar")
        if (problematicJar.exists()) {
            problematicJar.setPermissions(0b111101101) // 对应755权限
        }
    }
}

2. 配置Paketo构建包环境变量修正权限 #

利用Paketo构建包的内置环境变量，在bootBuildImage中设置参数，强制调整工作目录文件权限：

bootBuildImage {
    arguments = listOf(
        "--env", "BP_FILE_SYSTEM_CHMOD=755", // 给/workspace下所有文件设置755权限
        "--env", "BP_GID=1000" // 指定组ID为1000，确保默认用户组有权限
    )
}

BP_FILE_SYSTEM_CHMOD会在构建过程中递归修改指定目录（默认/workspace）的文件权限，确保组用户可读可执行。

3. 修正本地依赖仓库的文件权限 #

检查本地Gradle/Maven仓库中annotations-23.0.0.jar的权限，如果是700，手动修改为755：

chmod 755 ~/.gradle/caches/modules-2/files-2.1/com.intellij/annotations/23.0.0/*.jar

之后重新执行bootBuildImage，确保构建时使用权限正确的依赖文件。

4. 自定义Dockerfile替代bootBuildImage #

如果上述方法无效，直接编写Dockerfile完全控制镜像构建流程：

# 基于BellSoft Liberica JDK镜像（与Paketo默认镜像一致）
FROM bellsoft/liberica-openjdk-alpine:17

WORKDIR /workspace

# 复制可执行Jar到镜像
COPY build/libs/your-application.jar app.jar

# 调整目录和文件权限，确保1002用户（Paketo默认用户）可访问
RUN chown -R 1002:1000 /workspace && chmod -R 755 /workspace

# 使用默认用户启动
USER 1002:1000

CMD ["java", "-jar", "app.jar"]

执行docker build -t your-image .构建镜像，替代bootBuildImage即可。

内容的提问来源于stack exchange，提问作者Teocali