Mặc định là container sẽ chạy bằng quyền root. Dùng USER để chỉ định người dùng

RUN nobody

hoặc

RUN addgroup --system app && adduser --system --group app

nobody là một người dùng hệ thống không có đường dẫn home và có quyền tối thiểu (UID 65534)