Containers Não Raiz

Execute o Node.js como um usuário não raiz para que uma fuga de container ou RCE não conceda privilégios de nível de host.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

FROM node:24-bookworm-slim
WORKDIR /app
 
COPY package.json package-lock.json ./
RUN npm ci --omit=dev
 
COPY dist ./dist
RUN chown -R node:node /app
 
USER node
ENV NODE_ENV=production
CMD ["node", "dist/main.js"]

Quando usar isso: Toda imagem de produção Node. Use as melhores práticas de segurança do Docker e a maioria das políticas do K8s exigem UIDs não raiz.

Exemplo de Trabalho

FROM node:24-bookworm-slim AS build
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
COPY tsconfig.json src ./
RUN npm run build
 
FROM node:24-bookworm-slim AS prod
WORKDIR /app
 
# Instale como root, depois passe a propriedade
COPY package.json package-lock.json ./
RUN npm ci --omit=dev
 
COPY --from=build /app/dist ./dist
 
# Diretórios graváveis que o aplicativo precisa em tempo de execução
RUN mkdir -p /app/tmp /app/logs \
  && chown -R node:node /app
 
USER node
 
EXPOSE 3000
CMD ["node", "dist/main.js"]

// src/main.ts - vincule uma porta não privilegiada
import express from "express";
 
const app = express();
const port = Number(process.env.PORT ?? 3000);
 
app.get("/health", (_req, res) => res.json({ status: "ok" }));
 
app.listen(port, "0.0.0.0");

O que isso demonstra:

• A imagem oficial node inclui um usuário node (UID 1000)
• chown antes de USER para que o aplicativo possa ler node_modules e gravar logs
• A porta 3000 não requer root (apenas portas abaixo de 1024 o fazem)

Mergulho Profundo

Como Funciona

• Containers Linux compartilham o kernel do host; root em um container ainda é perigoso (capacidades, montagens de socket)
• USER node cai para UID 1000 para o processo CMD e seus filhos
• O securityContext.runAsNonRoot: true do Kubernetes rejeita imagens que iniciam como UID 0

Contexto de Segurança do Kubernetes

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      securityContext:
        runAsNonRoot: true
        runAsUser: 1000
        fsGroup: 1000
      containers:
        - name: api
          image: my-api:1.2.3
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop: ["ALL"]
          volumeMounts:
            - name: tmp
              mountPath: /app/tmp
      volumes:
        - name: tmp
          emptyDir: {}

readOnlyRootFilesystem requer montagens graváveis para arquivos temporários e sockets Unix.

UID Personalizado para OpenShift

Algumas plataformas exigem UIDs arbitrários. Construa com diretórios graváveis pelo grupo:

RUN chgrp -R 0 /app && chmod -R g=u /app
USER 1001

O OpenShift é executado como um UID aleatório no grupo root; g=u concede acesso de escrita.

Lista de Verificação de Permissões de Arquivo

Armadilhas

• USER node antes de COPY - arquivos pertencentes ao root, o aplicativo não pode escrever. Correção: chown após todas as cópias.
• Vincular porta 80 - falha sem root. Correção: escute na porta 3000; o ingress mapeia 443 para 3000.
• npm install como node na compilação - erros de permissão de cache. Correção: instale como root no estágio de compilação, chown, depois USER node.
• Montagens de volume substituem a propriedade - diretórios de host pertencentes ao root. Correção: fsGroup no K8s ou chown de initContainer.
• Prisma/sqlite escrevendo em /app - sistema de arquivos raiz somente leitura quebra. Correção: monte emptyDir em /app/data.
• Assumindo que o usuário node existe no distroless - use o usuário nonroot em vez disso.

Alternativas

FAQs

docker run --rm my-api id
# uid=1000(node) gid=1000(node)

Relacionados

• Noções Básicas de Docker - primeiro Dockerfile
• Builds Multi-Estágio - chown no estágio final
• Compromissos Distroless & Alpine - usuário nonroot
• Probes de Saúde e Prontidão - probes como não-root
• Melhores Práticas do Docker - lista de verificação de seção

Versões da Stack: Esta página foi escrita para Node.js 24.18.0 (Active LTS), npm 10+, TypeScript 5.6+, Express 5, Fastify 5 e NestJS 11.