在Docker 容器中以 root 身份启动 app 是否合理?

在Docker 容器中以 root 身份启动 app 是否合理?

首先必须说明一点，目前docker是不支持user namespace的，预计会在docker 1.8.0甚至更后才支持，这部分内容的支持社区主要由IBM公司在做。

回到docker的root问题上。
1.如果您希望不使用root而使用普通用户来运行app，那自然最好不过。app的用户性质决定其自身的权限有限。

2.如果不慎，或者图方便，在docker容器内部使用root运行app，那么不可否认，这个root和宿主机的root是同一个UID。但是，需要特别注意的是，容器内的root与宿主机上的root权限并不一定是相等的。
最主要的关键是，也没有以priviledge方式运行容器。如果启动priviledge特权模式，那么容器内的root和宿主机上的root在Capability方面拥有权限一致，此时容器内的root对宿主机的危害是非常大的。如果没有启动priviledge特权模式，那么容器内的root用户会缺少很多的Capability能力，比如没有SYS_ADMIN能力等。
总之，特权模式的存在会导致内外root的权限存在较大差异，这一点比较重要

应该不是吧。