在极简容器镜像中添加非 root 用户需遵循“轻量创建+精准归属+严格切换”：用 adduser/addgroup 固定 uid/gid 创建用户，copy 时用 --chown 直接设属主，user 指令置于末尾且不被覆盖，distroless 需用数字 uid:gid，验证用 id、touch 和 ps 确认。
在极简容器镜像（如 Alpine、distroless 或 scratch）中添加非 root 用户，核心是“轻量创建 + 精准归属 + 严格切换”，避免引入冗余工具或依赖。关键不在于功能多全，而在于 UID 固定、权限干净、切换可靠。
用 adduser/addgroup 直接创建（Alpine 最简路径）
Alpine 镜像自带 adduser 和 addgroup，无需安装额外包，一行命令即可创建无 shell、UID 显式指定的系统用户：
RUN addgroup -g 1001 -f appgroup && adduser -D -u 1001 -G appgroup appuser-
-D表示不创建家目录、不设密码；-u 1001强制固定 UID，规避宿主机冲突；-G指定主组，便于后续 chown - 比
useradd更简洁，不依赖/etc/login.defs，适合极简环境
COPY 时直接设定属主（免 RUN chown）
极简镜像中应尽量减少 RUN 指令（每条都新增一层且可能残留 root 权限）。推荐在 COPY 阶段就完成权限落地：
COPY --chown=appuser:appgroup ./app /app- 确保所有应用文件、配置、脚本一进镜像就归属目标用户，后续 USER 切换后可立即读取执行
- 若用 multi-stage 构建，仅 final 阶段需此操作；构建阶段仍可用 root 安装编译工具
USER 指令置于最后，且不被覆盖
切换必须发生在所有需要 root 的操作之后，并确保 CMD/ENTRYPOINT 继承该上下文：
-
USER appuser:appgroup放在 Dockerfile 末尾，紧挨着 CMD 或 ENTRYPOINT 之前 - 禁止在 USER 后再写 RUN（会隐式切回 root），也避免在 ENTRYPOINT 脚本里用
su或sudo—— 极简镜像通常不含这些二进制 - 对于 distroless 镜像，USER 只支持数字 UID:GID 形式（如
USER 1001:1001），因无 /etc/passwd 解析能力
验证只需三步（不依赖外部工具）
运行容器后，用最基础命令快速确认是否生效：
-
docker run --rm your-image id→ 输出应为uid=1001(appuser) gid=1001(appgroup) -
docker run --rm your-image sh -c 'touch /tmp/test 2>/dev/null || echo "no write"→ 应成功（/tmp 默认可写）；若试touch /etc/test应失败 -
docker run --rm your-image ps -o uid,comm | grep -v UID→ 主进程 UID 列应为 1001
