copy 的 --chown 参数在文件写入镜像层时一步设定属主，需提前创建对应用户组或使用 uid/gid；不同文件类型应按用途设不同归属，且 --chown 不控制权限位，可执行性需配合 --chmod 显式设置。
COPY 指令本身不控制文件属主，真正起作用的是它的 --chown 参数。它不是“复制完再改权限”，而是在文件写入镜像层的瞬间，就用指定的用户和组完成归属设定，一步到位。
必须提前创建用户和组
镜像里没有对应用户或组，--chown 就会直接报错失败，不会自动创建。
- 推荐用数字 ID（UID/GID）方式，比如 --chown=1001:1001，避免依赖基础镜像中是否预装了 nginx、node 这类用户名
- 如果要用名字（如 appuser:appgroup），就得在 COPY 前用 RUN 显式创建：
RUN groupadd -g 1001 appgroup && useradd -r -u 1001 -g appgroup appuser - 只写 --chown=appuser（省略组）时，Docker 会自动取该用户的主组，但前提是用户已存在
按用途选对 --chown 值
不同文件类型需要不同的归属策略，不能全设成同一个用户。
- 应用代码、入口脚本：设为运行用户，如 --chown=1001:1001，再配合 USER 1001 启动容器
- 配置文件（config.yaml 等）：常设为 --chown=1001:0（用户 1001，root 组），方便读取又不开放写权限
- 日志目录或临时路径（/var/log/myapp）：需写权限，建议 --chown=1001:1001，并提前 RUN mkdir -p /var/log/myapp && chmod 750 /var/log/myapp
--chown 不等于 --chmod
它只管“谁拥有”，不管“能不能执行”。可执行位得另外处理。
- 源文件本身有 x 权限（如 shell 脚本），COPY 默认保留，但若属主不是运行用户，仍可能无法执行
- 启用 BuildKit 后，可用 --chmod=755 强制设权限：
COPY --chown=1001:1001 --chmod=755 ./entrypoint.sh /usr/local/bin/entrypoint.sh - 别指望 COPY 自动识别可执行性——显式加 --chmod 更稳妥，尤其跨平台构建时
多阶段构建别漏掉 --chown
从 builder 阶段复制产物到 final 阶段时，权限不会继承，每次 COPY 都要单独加 --chown。
- 例如：COPY --from=builder --chown=1001:1001 /app/dist /usr/share/nginx/html
- final 阶段的基础镜像（如 nginx:alpine）很可能没 appuser，所以优先用 UID/GID 形式
- 别以为前一阶段设过权限，这里就能省——每阶段都是独立环境
