--user参数强制容器以非root用户运行是最直接、低成本的全生命周期安全加固手段：启动时堵住root入口，运行时约束文件访问，调试时防权限提升，退出时减少残留风险，并可结合用户命名空间实现双重隔离。
用 --user 参数强制容器以非 root 用户运行，是降低全生命周期安全风险最直接、成本最低的手段之一。它从启动那一刻起就切断了攻击者获取高权限的默认路径，后续所有操作（日志写入、配置加载、临时文件创建、挂载目录访问）都受限于该用户的能力边界。
启动阶段：堵住默认 root 入口
容器一启动就以 root 运行，等于把“大门钥匙”直接交给应用进程。哪怕应用本身没漏洞，只要它调用了有缺陷的依赖库或配置了错误的挂载点，就可能被利用。
- 不加 --user：进程 UID=0，可任意修改 /proc、/sys、挂载新文件系统
- 加 --user 1001：进程 UID=1001，无法绑定 80 端口、无法写入 /etc、无法加载内核模块
- 推荐做法：固定使用数字 UID（如 1001），避免因镜像发行版差异（Alpine 的 www-data 是 UID 82，Debian 是 33）导致行为不一致
运行阶段：约束文件与目录访问行为
应用在运行中会频繁读写配置、日志、缓存和上传文件。若以 root 运行，这些文件在宿主机上也会属 root，其他用户或后续容器难以维护；若以普通用户运行，则天然形成访问隔离。
- 挂载宿主机目录时（-v /host/data:/app/data），提前执行 chown -R 1001:1001 /host/data，确保容器内进程能正常读写
- 镜像构建时用 COPY --chown=1001:1001 复制应用文件，避免启动时因权限不足失败
- 避免在容器内动态创建用户（如 runuser），这会导致 UID 不可预测，破坏权限一致性
交互与调试阶段：防止权限意外提升
运维人员常通过 docker exec -it 进入容器排查问题。启用 --user 后，这个入口也默认受限，大幅降低误操作或恶意命令造成的影响。
- 默认进入即为指定用户（如 1001），不能直接编辑 /etc/passwd 或重启 systemd
- 如需临时切 root 调试，必须显式加 --user root，且该操作应受审计日志记录
- 配合 --read-only 使用时，即使进去了也无法篡改应用二进制或配置文件
退出与清理阶段：减少残留风险
容器停止后，其产生的日志、临时文件、socket 文件等若属 root，可能在宿主机上长期滞留并被其他进程误用。非 root 用户运行能自然收敛影响范围。
- 应用生成的文件自动归属 UID 1001，便于统一回收或轮转（如 logrotate 配合指定 uid）
- 卷中残留文件不会因属 root 而阻塞 CI/CD 流水线中普通用户身份的部署步骤
- 结合用户命名空间映射（--userns-remap），还能让容器内 UID 1001 映射到宿主机一个无特权的高位 UID（如 100000），实现双重隔离
