copy --chown用于显式设定目标文件在镜像中的属主和属组，而非还原宿主机原始权限；必须确保目标用户和组已在镜像中存在，推荐用uid/gid提高可移植性，并结合user、--chmod等指令协同实现最小权限原则。
COPY --chown 不是用来“还原”宿主机原始属主的工具，而是让你在复制文件时主动、明确地设定目标文件在镜像中的用户和组归属。它不读取源文件的 UID/GID，也不做自动映射，关键在于“提前规划 + 显式指定 + 环境就绪”。
确保目标用户和组已在镜像中存在
这是最常被忽略的前提。--chown 指定的用户（如 appuser:appgroup）必须在 COPY 执行前已存在于镜像内，否则构建直接失败。
- 推荐用 RUN useradd -r -u 1001 -g appgroup appuser 创建非特权用户（-r 表示系统用户，更符合生产习惯）
- 若使用 UID/GID 形式（如 --chown=1001:1001），需确认基础镜像中该 UID 对应的用户已创建，或至少 GID 1001 已通过 groupadd -g 1001 appgroup 建立
- 避免依赖基础镜像自带的用户名（如 nginx、node），除非你确定其 UID/GID 在所有构建环境中一致；生产环境更推荐用数字 ID 提高可移植性
按用途选择合适的 --chown 值
不同资产类型对应不同安全要求，属主设置不能一刀切：
- 应用代码与可执行脚本：设为运行用户，例如 --chown=1001:1001，并确保 USER 1001 在后续生效
- 配置文件（如 config.yaml）：通常只需读权限，可设为 --chown=1001:0（用户 1001，root 组），便于共享访问
- 日志目录或运行时写入路径（如 /var/log/myapp）：需保证运行用户有写权限，建议 --chown=1001:1001 并配合 RUN mkdir -p /var/log/myapp && chmod 750 /var/log/myapp
注意路径与权限的协同关系
--chown 只控制属主，不改变文件权限（如 644 或 755）。能否执行，取决于文件是否具备可执行位：
- 如果源文件本身有 x 权限（如 shell 脚本），COPY 默认会保留可执行位；但若属主不是运行用户，仍可能因权限不足无法执行
- 若需强制设置权限，Docker BuildKit 支持 --chmod=755（仅限 BuildKit 启用时），例如：COPY --chown=1001:1001 --chmod=755 ./entrypoint.sh /usr/local/bin/entrypoint.sh
- 不要依赖 COPY 自动识别可执行性——显式加 --chmod 更可靠，尤其在跨平台构建时
避免多阶段构建中的权限断层
在多阶段构建中，从 builder 阶段复制产物到 final 阶段时，同样需要 --chown：
- 例如：COPY --from=builder --chown=1001:1001 /app/dist /usr/share/nginx/html
- 此时 final 阶段的基础镜像（如 nginx:alpine）未必有 appuser，需提前创建或改用 UID/GID 形式
- 若 final 镜像极简（如 distroless），只能用 UID/GID，且需确保该 UID 在容器运行时有对应上下文（如通过 k8s securityContext 设置 runAsUser）
