workdir是容器目录结构的“锚点”，应设为语义明确的稳定路径（如/app），并构建/app、/app/config、/app/data、/app/logs四层结构，配合user和权限最小化原则及多阶段构建实现安全可控的微服务部署。
workdir 是 dockerfile 中设置容器内默认工作路径的关键指令，它不只影响 cmd 或 run 的执行位置，更是整个项目文件结构的“锚点”。用对了，目录清晰、权限可控、多环境一致；用错了，容易混杂代码/配置/日志，带来安全与维护隐患。
明确 WORKDIR 路径语义，选稳定、简洁、业务相关的根路径
推荐统一使用 /app 作为主工作目录，它语义清晰、跨语言通用（Java/Go/Node.js 都适用），且避免系统路径冲突。不要用 /tmp、/var/app 或过深嵌套路径（如 /opt/company/product/v2/src），前者权限混乱，后者增加运维和缓存管理成本。
- /app：存放编译后可执行文件或主应用包（如 JAR、binary、dist 目录），设为非 root 用户可读
- /app/config：只读挂载或 COPY 进来的配置文件（application.yml、logback.xml 等）
- /app/data：运行时轻量状态（本地缓存、token store），需配合 volume 或 tmpfs 使用
- /app/logs：日志输出目录，必须可写，建议通过 stdout/stderr 输出，或配 logrotate 管理
WORKDIR 后必须配合权限控制，禁止 root 运行服务
WORKDIR 创建的目录默认属 root，但服务不应以 root 身份启动。正确顺序是：
- 先执行
WORKDIR /app - 再用
RUN chown -R 1001:1001 /app && chmod 755 /app设置归属和权限 - 最后用
USER 1001切换运行用户 - 若子目录（如
/app/logs）需写入，要提前RUN mkdir -p /app/logs && chown 1001:1001 /app/logs
结合多阶段构建，隔离构建与运行时路径
构建阶段可用 WORKDIR /src 存放源码，编译完成后只把产物 COPY 到运行镜像的 /app 下：
- 构建阶段：`WORKDIR /src` → 编译 → `COPY --from=builder /src/dist/ /app/`
- 运行阶段：固定 `WORKDIR /app`，所有启动命令基于此路径，例如 `CMD ["./service", "--config=config/app.yaml"]`
- 运行镜像中严禁保留
/src、/build等构建残留路径，减小攻击面与体积
COPY 和 RUN 指令都依赖 WORKDIR，路径写法要相对化
一旦设了 WORKDIR /app，后续的 COPY . . 就是把上下文当前目录内容复制到容器的 /app 下；RUN ls 就是在 /app 下执行。因此：
- 避免在 COPY 中写绝对路径（如
COPY ./conf /app/config），应先WORKDIR /app，再COPY ../conf config/ - 确保所有 CMD/ENTRYPOINT 命令路径与 WORKDIR 保持一致，减少硬编码路径出错概率
