根本原因是脚本缺少可执行权限或运行用户无权访问，需在Dockerfile中COPY后用RUN chmod +x赋权、确保shebang兼容（如#!/bin/sh）、必要时chown匹配USER，并推荐用ENTRYPOINT包装CMD以增强健壮性。

在 Dockerfile 中使用 CMD 执行脚本时提示“Permission denied”，根本原因通常是脚本文件缺少可执行权限，或容器内运行用户无权访问/执行该文件。这不是 CMD 本身的问题，而是文件权限和用户上下文不匹配导致的。

确保脚本在构建时具备可执行权限

Docker 镜像中文件的权限需在构建阶段显式设置。即使宿主机脚本有 x 权限，COPY 进镜像后默认可能丢失（尤其从 Windows 或某些 Git 配置下）。

• 在 Dockerfile 中 COPY 后立即用 RUN chmod +x 赋权：
  

  COPY entrypoint.sh /app/entrypoint.sh<br>RUN chmod +x /app/entrypoint.sh

• 推荐统一用绝对路径调用，避免因 PATH 或工作目录引发的权限误判。

检查并匹配运行用户与文件属主

如果 Dockerfile 中使用了 USER 指令切换到非 root 用户（如 user:1001），而脚本属于 root 且未开放其他用户执行权限，普通用户将无法运行。

• 构建时可一并修改属主：
  

  RUN chmod +x /app/entrypoint.sh && chown 1001:1001 /app/entrypoint.sh

• 更稳妥的做法是：脚本保持 755 权限（chmod 755），确保 owner 可执行、group 和 others 至少有读+执行权。

避免直接执行 shell 脚本时的解释器缺失问题

若脚本首行是 #!/bin/bash，但镜像中没有 /bin/bash（如基于 alpine 的镜像默认只有 ash），也会报错，看起来像权限问题。

• 改用 POSIX 兼容的 shebang：#!/bin/sh
• 或安装 bash：RUN apk add --no-cache bash（alpine 场景）
• 验证方式：进入容器执行 ls -l /app/entrypoint.sh 和 head -1 /app/entrypoint.sh 确认 shebang 正确。

用 ENTRYPOINT 包装 CMD 提升健壮性（推荐）

对于复杂启动逻辑，建议用 ENTRYPOINT 做权限校验和前置准备，CMD 仅传参。这样即使权限异常，也能在 ENTRYPOINT 中捕获并提示。

• 示例：
  

  ENTRYPOINT ["/app/entrypoint.sh"]<br>CMD ["app:start"]

• entrypoint.sh 开头加入：
  

  #!/bin/sh<br>set -e<br>[ -x "/app/entrypoint.sh" ] || { echo "ERROR: entrypoint.sh missing exec perm"; exit 1; }