本质是普通用户无权访问权限为srw-rw----、属主root:docker的/var/run/docker.sock文件；解决方案只有加docker组或启用rootless模式两种。
普通用户执行 docker 命令报 permission denied while trying to connect to the Docker daemon socket，本质是没权限访问 /var/run/docker.sock —— 解决方案只有两个：加组（最常用）或换 Rootless 模式（更安全），没有第三条路。
为什么普通用户默认不能运行 docker 命令
Docker 守护进程（dockerd）启动后，会创建一个 Unix socket 文件 /var/run/docker.sock。它的权限默认是 srw-rw---- 1 root docker，也就是说：只有 root 用户或属于 docker 组的用户才能读写。普通用户既不是 root，也不在该组里，自然被拒绝。
这不是 Docker 故意设限，而是 Linux 权限模型的正常体现。关键点在于：docker 组 ≠ 安全隔离组，它等价于“可间接提权的高危组”。
把用户加进 docker 组（最直接但需谨慎）
这是绝大多数人用的方式，操作简单，但必须清楚后果：
- 确认
docker组存在：getent group docker；若无，先运行sudo groupadd docker - 把当前用户加进去：
sudo usermod -aG docker $USER—— 注意一定要带-a，否则会清空你原来所属的其他组 - 让新组生效：
newgrp docker（当前终端立即生效），或干脆退出终端重新登录 - 验证：
docker run hello-world不报 permission denied 就成功了
⚠️ 容易踩的坑：
– 即使加了组，仍报错？检查 /var/run/docker.sock 权限：ls -l /var/run/docker.sock。如果显示 root:root 或权限不是 660，说明守护进程没加载新组配置，执行 sudo systemctl restart docker 再试。
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
– 某些系统（如 CentOS/RHEL）可能用的是 dockerroot 组名而非 docker，得先查 cat /etc/group | grep -i dock 确认真实组名。
改用 Rootless 模式（推荐用于开发/非特权环境）
它让 dockerd 在用户空间以非 root 身份运行，完全不碰系统级 socket 和守护进程，安全性高得多：
- 前提：内核 ≥ 4.18 +
uidmap工具已安装（Ubuntu 上跑sudo apt install uidmap） - 卸载系统 Docker（可选，避免端口冲突）：
sudo apt remove docker-ce docker-ce-cli - 一键安装 Rootless：
curl -fsSL https://get.docker.com/rootless | sh - 按提示设置环境变量，例如：
export PATH=$HOME/bin:$PATH - 启动：
systemctl --user start docker；开机自启：systemctl --user enable docker
此时你用 docker ps 完全无需 sudo，所有容器、镜像、网络都隔离在 $HOME/.local/share/docker 下，宿主机其他用户完全不可见。
别忽略的细节和权衡
加 docker 组看似方便，但它意味着该用户能通过 -v /:/host 挂载整个根目录、读取 /etc/shadow、加载内核模块甚至重启宿主机——这跟给 sudo 权限差别不大。
Rootless 模式虽安全，但不支持某些功能：比如 docker build --network=host、部分 cgroup v1 特性、或需要访问 /dev 设备的容器（除非显式配置 --device）。生产环境若需这些能力，就得在“可控范围内信任用户 + 严格限制容器能力（--cap-drop=ALL）”之间做取舍。
