必须在Dockerfile中显式创建非root用户并用USER指令切换，避免依赖默认root或运行时覆盖；需配合--chown设置文件归属、禁用危险能力、启用只读文件系统，并通过id和ps验证UID/GID生效。
让容器在非特权模式下运行，核心是不让进程以 root（UID 0）启动，而是用一个权限受限的普通用户。这不是可选项，而是生产环境必须落实的基础安全动作。
在Dockerfile中显式创建并切换用户
不要依赖基础镜像默认的 root 用户，也不要在运行时靠 --user 临时覆盖——应在构建阶段就固化最小权限身份。
- 使用
addgroup和adduser创建专用用户组和用户，指定 UID/GID（推荐 1001 或更高，避开系统保留范围） - 通过
COPY --chown=用户名:组名确保应用文件归属该用户，避免启动时报权限错误 - 紧接在文件复制后，用
USER 用户名切换上下文，此后所有RUN、CMD、ENTRYPOINT都以此身份执行
示例片段：
FROM alpine:latest<br>RUN addgroup -g 1001 -S appgroup && \<br> adduser -S appuser -u 1001 -G appgroup<br>COPY --chown=appuser:appgroup ./app /opt/app<br>USER appuser<br>CMD ["/opt/app/start.sh"]
避免常见配置陷阱
看似简单的 USER 指令，容易因继承或顺序问题失效。
- 若基于第三方镜像（如官方 nginx、php），先检查其 Dockerfile 是否已设 USER；若未设，必须在你自己的 Dockerfile 开头就声明新用户，否则 RUN 指令仍以 root 执行
- 不要在 USER 之后再写 RUN 指令（除非明确需要 root 权限做初始化，此时应切回 root → 完成 → 再切回非特权用户）
- 避免使用
nobody或65534这类通用低权限用户，因其可能被多个服务共用，增加横向越权风险；应为每个服务分配独立 UID
配合运行时参数加固效果
Dockerfile 设定用户只是第一步，运行时还需限制能力与访问面。
- 启动时加
--cap-drop=ALL，再按需添加必要能力，例如--cap-add=NET_BIND_SERVICE（用于监听 80/443） - 禁用危险设备：不挂载
/dev/sda、/dev/mem，可用--device-cgroup-rule白名单控制 - 启用只读文件系统：
--read-only，对需写入的路径（如日志、缓存）单独用--tmpfs或-v挂载可写卷
验证是否真正生效
配置完别只信文档，要动手确认。
- 构建镜像后运行容器：
docker run -d --name test-app your-image - 进容器查身份：
docker exec test-app id，输出应为uid=1001(appuser) gid=1001(appgroup) - 检查进程属主：
docker exec test-app ps aux | head -n 3，主进程 UID 应与上一步一致
