镜像与构建107 条

镜像非 root 运行实践

容器内以非 root 身份运行应用：配合专用账号、文件属主与目录权限，让漏洞利用的影响面收敛在可管范围内。

手段	USER 指令 / docker run --user / 编排 runAsUser
UID 规划	使用高位 UID（如 10001）减少与宿主账号撞号
配套	COPY --chown、目录预建

示例

RUN useradd -r -u 10001 -m appuser
WORKDIR /app
COPY --chown=10001:10001 . .
USER 10001
ENTRYPOINT ["/app/server"]

验证实际身份：docker exec <容器> id；编排环境里镜像 USER 可能被 runAsUser 覆盖。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌