Testcontainers-dotnet 在 .NET 8 环境下的容器权限问题解析

问题背景

在 .NET 8 发布后，微软对容器安全性进行了增强，默认使用非 root 用户（名为"app"）运行应用程序。这一变化导致在使用 Testcontainers-dotnet 构建和运行容器时出现了权限问题，具体表现为应用程序无法访问 appsettings.json 等配置文件。

问题现象

当开发者使用 Testcontainers-dotnet 构建 .NET 8 应用程序容器时，会遇到以下异常：

Unhandled exception. System.UnauthorizedAccessException: Access to the path '/app/appsettings.json' is denied.

对比直接使用 Docker CLI 构建的容器，发现以下差异：

1. 文件权限不同：Testcontainers 构建的容器中 appsettings.json 权限为 700，而 Docker CLI 构建的为 755
2. 文件所有权不同：Testcontainers 构建的容器中 /app 目录及其内容的所有者为 root，而 Docker CLI 构建的为 app

技术分析

根本原因

Testcontainers-dotnet 在构建镜像时，会创建一个包含应用程序文件的 tarball 包。问题出在 tarball 创建过程中：

1. 对于 Windows 主机，SharpZipLib 库创建 tarball 时没有正确继承文件权限，而是使用了默认的 700 权限
2. 对于 Linux/macOS 主机，虽然会尝试继承权限，但仍存在权限设置不正确的问题

.NET 8 安全变更的影响

.NET 8 引入了以下安全相关变更：

1. 默认使用非 root 用户（app）运行应用程序
2. 更严格的默认文件权限设置

这些变更使得之前隐藏的权限问题变得明显，因为非 root 用户无法访问权限为 700 且所有者是 root 的文件。

解决方案

临时解决方案

1. 修改 Dockerfile：在 COPY 命令后添加所有权变更

WORKDIR /app
COPY --from=publish /app/publish .
RUN chown -R app:app .
USER $APP_UID

2. 回退到 root 用户（不推荐）：

USER root

长期解决方案

Testcontainers-dotnet 已在后续版本中修复此问题，具体措施包括：

1. 对于 Windows 主机，显式设置 tarball 中文件的权限为 755
2. 对于 Linux/macOS 主机，改进权限继承机制

最佳实践建议

1. 明确设置文件权限：在 Dockerfile 中显式设置关键文件和目录的权限

RUN chmod 644 /app/appsettings.json

2. 合理规划文件访问：避免应用程序写入 /app 目录，应使用专门的卷或目录存储运行时数据

3. 测试容器权限：在 CI/CD 流程中加入权限相关的测试用例

总结

Testcontainers-dotnet 在 .NET 8 环境下遇到的权限问题，反映了容器安全最佳实践与工具链兼容性之间的平衡挑战。通过理解底层机制和采用适当的解决方案，开发者可以既享受 .NET 8 增强的安全性，又能保持开发效率。

对于正在使用 Testcontainers-dotnet 的团队，建议升级到包含修复的版本，并按照本文建议调整容器构建配置，以确保应用程序在容器环境中正常运行。