最有效降权方式是先建专用非特权用户、再用USER指令切换身份、最后验证权限边界；需按基础镜像选择adduser或useradd创建用户，配合--chown或chown设置目录权限，确保CMD等后续指令以目标用户执行。
直接在 Dockerfile 中用 USER 指令切换运行身份，是最有效、最可控的降权方式。关键不是“加限制”，而是“先建用户、再切身份、最后验证权限边界”。
创建专用非特权用户
必须在 USER 之前，用 RUN 指令显式创建用户。不同基础镜像命令略有差异：
- Alpine 镜像常用：
adduser -u 1001 -D appuser（-D表示不创建家目录，轻量） - Debian/Ubuntu 镜像常用：
useradd -r -u 1001 -m appuser（-m创建家目录，-r标记为系统用户） - 若需分组管理，可先
addgroup appgroup，再用-G appgroup将用户加入
切换用户并确保上下文生效
USER 指令只影响其后的指令（包括 CMD、ENTRYPOINT 和容器启动时的进程），不会回溯改变前面的 RUN 步骤。
- 写法示例：
USER appuser或USER 1001（直接指定 UID 更稳定，避免用户名解析失败） - 不要省略创建步骤——如果镜像里没有该用户，容器启动会报错
unable to find user appuser - 可多次使用 USER，比如构建阶段用 root，运行阶段切普通用户
同步调整文件归属与权限
应用代码、配置、日志目录等，需提前赋予目标用户读写权限，否则切用户后会因权限不足而启动失败。
- 复制代码时用
COPY --chown=appuser:appuser . /app - 或单独设置：
RUN chown -R appuser:appuser /app && chmod 755 /app - 工作目录也建议切换属主：
WORKDIR /app后跟RUN chown appuser:appuser /app
运行时验证是否真正降权
启动容器后，执行 whoami 或 id 是最直接的验证方式。
- 可在 Dockerfile 中加一句
RUN whoami（构建时检查） - 也可运行时验证：
docker run --rm your-image whoami，输出应为appuser而非root - 进一步确认：尝试写入
/etc或执行apt update，应提示权限拒绝
