tianon/gosu 打包 gosu 二进制，在 Docker entrypoint 脚本中将进程从 root 降权至指定用户后 exec 目标命令，避免 su/sudo 信号处理问题。定位为 Dockerfile/entrypoint 辅助工具镜像，通常 COPY --from=tianon/gosu 或直接作为 init 容器；需要 root 启动再降权的数据库、缓存等官方镜像自定义 entrypoint。

快速启动

docker run --rm docker.io/tianon/gosu:1.17 gosu nobody id

推荐实践

# entrypoint.sh:
# gosu appuser exec "$@"
# Dockerfile: COPY --from=tianon/gosu:1.17 /usr/local/bin/gosu /usr/local/bin/gosu

核心参数说明

• gosu user cmd — 降权并 exec
• 信号 — 正确转发 SIGTERM
• 替代 — su/sudo 在容器中
• 用法 — COPY --from 多阶段构建