Docker 容器内 root 用户安全风险怎么用非特权用户运行？

Question

仓乃文 · Accepted Answer

Docker 容器默认以 root 用户运行，这意味着容器内的进程拥有 root 权限。虽然容器有隔离，但一旦容器被攻破或配置不当（如挂载了宿主机目录），攻击者就能以 root 身份操作宿主机文件，这是严重的安全隐患。

安全风险：
```bash
# 容器内 root = 宿主机 root（默认未开启 User Namespace）
docker run -v /:/host alpine ls /host/etc/shadow
# 可以直接读取宿主机的敏感文件！

# 更危险的：挂载 Docker Socket
docker run -v /var/run/docker.sock:/var/run/docker.sock alpine \
  sh -c "apk add curl && curl -s --unix-socket /var/run/docker.sock http://localhost/containers/json"
# 等于把宿主机的控制权交出去了
```

修复方案：
```dockerfile
# 方案 1：Dockerfile 中创建用户（推荐）
FROM node:18-alpine

# 创建非特权用户
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

# 设置工作目录并修改所有权
WORKDIR /app
COPY --chown=appuser:appgroup . .
RUN npm ci --only=production

# 切换到非特权用户
USER appuser

CMD ["node", "server.js"]
```

```bash
# 方案 2：运行时指定用户
docker run -u 1000:1000 myapp
# 或
docker run --user $(id -u):$(id -g) myapp

# 方案 3：Docker Compose
```
```yaml
services:
  app:
    image: myapp
    user: "1000:1000"
```

官方镜像的非 root 支持：
```bash
# Nginx 官方镜像
# 默认以 root 启动（需要绑定 80 端口），worker 进程以 nginx 用户运行
# 如需非 root 运行：
FROM nginx:alpine
RUN chown -R nginx:nginx /var/cache/nginx && \
    chown -R nginx:nginx /var/log/nginx && \
    chown -R nginx:nginx /etc/nginx/conf.d
USER nginx
EXPOSE 8080  # 非 root 不能绑定 1024 以下端口

# Node.js 官方镜像
# node 用户 UID=1000，已预创建
FROM node:18-alpine
USER node
# 或
docker run -u node node:18-alpine

# MySQL 官方镜像
# 支持 MYSQL_UID 和 MYSQL_GID 环境变量
docker run -e MYSQL_UID=1000 -e MYSQL_GID=1000 mysql
```

开启 User Namespace（最高安全级别）：
```bash
# /etc/docker/daemon.json
{
  "userns-remap": "default"
}
# Docker 会自动创建 dockremap 用户
# 容器内 root 映射到宿主机的 dockremap 用户
# 即使容器被攻破，也只能操作 dockremap 的文件

# 重启 Docker
systemctl restart docker
# 注意：开启后已有容器和镜像需要迁移
```

补充说明：
- 非 root 用户不能绑定 1024 以下端口，需要改为 8080 等
- COPY --chown 确保文件所有权正确，否则非 root 用户无法读取
- 挂载卷时注意容器内用户对挂载目录的读写权限
- 规则：生产环境所有容器必须以非 root 用户运行
- 不要挂载 Docker Socket 到容器内，除非是 Portainer 等管理工具
- 不要使用 --privileged 标志，它几乎等同于宿主机 root