Update Dockerfile

Dockerfile

@@ -45,20 +45,20 @@ RUN uv pip install --python /opt/hermes/.venv/bin/python --no-cache-dir \
     && chmod 0440 /etc/sudoers.d/hermes \
     && /usr/sbin/visudo -cf /etc/sudoers.d/hermes
 
-# 3. 复制魔改项目的全部核心组件并【强制洗刷换行符】
-COPY --chown=hermes:hermes start.sh /opt/huggingmes/start.sh
-COPY --chown=hermes:hermes health-server.js /opt/huggingmes/health-server.js
-COPY --chown=hermes:hermes cloudflare-proxy-setup.py /opt/huggingmes/cloudflare-proxy-setup.py
-COPY --chown=hermes:hermes cloudflare-keepalive-setup.py /opt/huggingmes/cloudflare-keepalive-setup.py
-COPY --chown=hermes:hermes env-builder.html /opt/huggingmes/env-builder.html
-COPY --chown=hermes:hermes env-builder.js /opt/huggingmes/env-builder.js
-
-# CRITICAL FIX: 强刷去除可能由于 Windows 编辑带来的 \r 换行符污染
+# 3. 复制魔改项目的全部核心组件
+COPY start.sh /opt/huggingmes/start.sh
+COPY health-server.js /opt/huggingmes/health-server.js
+COPY cloudflare-proxy-setup.py /opt/huggingmes/cloudflare-proxy-setup.py
+COPY cloudflare-keepalive-setup.py /opt/huggingmes/cloudflare-keepalive-setup.py
+COPY env-builder.html /opt/huggingmes/env-builder.html
+COPY env-builder.js /opt/huggingmes/env-builder.js
+
+# CRITICAL ROOTLESS FIX: 
+# 1. 强力抹除 Windows 换行符。
+# 2. 对整个工作空间刷成 777，确保在任何低权限随机 UID 下进程都有完全的绝对读写和执行权。
 RUN sed -i 's/\r$//' /opt/huggingmes/start.sh && \
-    chmod +x \
-    /opt/huggingmes/start.sh \
-    /opt/huggingmes/cloudflare-proxy-setup.py \
-    /opt/huggingmes/cloudflare-keepalive-setup.py
+    chmod -R 777 /opt/huggingmes && \
+    mkdir -p /opt/data && chmod -R 777 /opt/data
 
 # 4. 保留原项目看板数据库迁移幂等补丁
 RUN python3 - <<'PY'
@@ -107,7 +107,10 @@ PY
 RUN echo 'export PATH="/opt/hermes/.venv/bin:/opt/data/.local/bin:$PATH"' \
     > /etc/profile.d/hermes-venv.sh
 
-# 环境变量修正：完全对齐官方与魔改共存的工作空间路径
+# 恢复官方默认的普通用户身份，顺应底层容器集群的沙箱降权安全策略
+USER hermes
+
+# 恢复官方底座的标准环境变量
 ENV HERMES_HOME=/opt/data \
     HUGGINGMES_APP_DIR=/opt/huggingmes \
     HERMES_AGENT_VERSION=${HERMES_AGENT_VERSION} \
@@ -120,5 +123,5 @@ EXPOSE 7861
 HEALTHCHECK --interval=30s --timeout=5s --start-period=60s \
   CMD curl -fsS http://localhost:7861/health || exit 1
 
-# 以 root 入口显式通过 bash 驱动，防止底层 s6 管理器因不可见标识符再次 exec 失败
-CMD ["/bin/bash", "/opt/huggingmes/start.sh"]
+# 顺应官方底座的启动入口，将我们的 start.sh 挂载为业务服务的主入口
+CMD ["/opt/huggingmes/start.sh"]