Docker中使用gosu的方法详解

Docker中使用gosu

为什么要用 gosu？

在 Docker 镜像中启动服务时，我们通常不希望以 root 身份运行主进程。

问题：

• 构建镜像时通常需要 root 权限；
• 启动时希望进程使用普通用户运行；
• 容器中使用 sudo 会产生额外的中间进程，导致信号转发不正常；
• 最终可能出现僵尸进程、容器无法优雅退出等问题。

gosu 是一个非常轻量的工具，功能类似 sudo，但不会产生额外进程，非常适合在 Docker 容器中用来切换用户。

注意事项

1. 创建专用普通用户，不要直接使用 root。
2. 在 entrypoint 中使用 gosu 切换用户，不要用 sudo。
3. 使用 exec 启动主进程，保证 PID=1 是应用本身。
4. 正确接收 SIGTERM 信号，避免僵尸进程。
5. 不要在 Docker 中滥用 sudo。

sudo vs gosu：真实对比

使用 gosu

docker run --rm gosu/alpine gosu root ps aux

输出：

PID   USER     TIME  COMMAND
1     root     0:00  ps aux

• ps 命令的 PID 是 1，容器内只有一个进程。
• 这样当宿主机发送 SIGTERM 信号时，应用能直接接收到。

使用 sudo

docker run --rm ubuntu:trusty sudo ps aux

输出：

USER        PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root          1  0.0  0.0  46012  1772 ?        Rs   12:05   0:00 sudo ps aux
root          6  0.0  0.0  15568  1140 ?        R    12:05   0:00 ps aux

• 容器内出现两个进程，PID=1 被 sudo 占用。
• 应用进程的 PID 不为 1，无法直接接收信号。
• 当执行 docker stop 时，信号发送给的是 sudo，而不是应用进程，可能导致应用残留为僵尸进程。

对比：

Dockerfile 安装 gosu

在 Dockerfile 中添加如下步骤即可：

FROM ubuntu:22.04
# 安装 gosu
RUN apt-get update && apt-get install -y gosu curl ca-certificates && rm -rf /var/lib/apt/lists/*
# 创建普通用户
RUN groupadd -r tempuser && useradd -r -g tempuser tempuser
# 拷贝入口脚本
COPY entrypoint.sh /usr/local/bin/entrypoint.sh
RUN chmod +x /usr/local/bin/entrypoint.sh
# 验证 gosu 是否工作
RUN gosu nobody true
ENTRYPOINT ["/usr/local/bin/entrypoint.sh"]

entrypoint.sh 的写法

entrypoint.sh 是容器启动脚本。

#!/usr/bin/env bash
set -e
# 使用 gosu 切换用户身份
if [ "$1" = "start-app" ]; then
    echo "Running application as tempuser..."
    exec gosu tempuser /app/my_server
fi
# 如果有其他命令，直接执行
exec "$@"

注意：exec 会让当前 shell 被新进程取代，保证应用进程的 PID=1。

构建 & 运行容器

docker build -t myapp .
docker run --rm -p 8080:8080 myapp start-app

容器内：

• /app/my_server 的 PID = 1
• 收到 docker stop 的信号时，能正确退出
• 不会残留 sudo 或 shell 僵尸进程

信号量与僵尸进程问题

容器启动时 PID=1 的进程非常特殊，它负责接收来自宿主机的信号（例如 SIGTERM、SIGINT）。

• 如果 PID=1 是 sudo，信号不会传给应用；
• 如果 PID=1 是应用进程本身，就能优雅退出；
• 使用 exec + gosu 可以保证 PID=1 是你的应用；
• 避免使用 shell 包一层后 & 运行后台进程的错误做法。

常见问题

参考资料

• gosu 官方 GitHub
• Docker 官方最佳实践
• Docker 官方最佳实践中文
• Why use exec in entrypoint?（Stack Overflow）
• CSDN docker与gosu

到此这篇关于Docker中使用gosu的文章就介绍到这了,更多相关docker使用gosu内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！

最新评论