dockerfile：`chmod 777 entrypoint`好吗？

Question

执行以下操作是否安全/必要：

ActualHeight

由于

Answer 1

这不安全。

• 如果执行此脚本的shell是bash，它可以并且将（在某些情况下）读取它已经解释的脚本的更新，因此即使更改由Docker的写时复制属性限定为单个实例，该实例的行为可以通过其中具有最小（偶数nobody）权限的代码进行修改。

• 在大多数Docker文件系统后端中，可以在主机上访问来宾文件系统。将可执行文件保留在主机上是可写的意味着对其父目录具有+x权限的任何用户都可以修改该内容。

没有必要。

• 执行脚本需要+r和+x。它在任何方面都不需要+w。因此，755通常就足够了。
• 如果您有基于编程修改脚本的运行时配置，那么在不允许shell注入攻击的情况下执行此操作的方法是修改脚本读取的数据文件（并确保此数据文件的方式）解释不包含任何eval - 等效实践）。也就是说，如果您目前使用sed -e 's/variable=.*/variable=foo/'修改脚本中的变量代码，请让脚本包含variable=$(<var.file)，并修改var.file的内容。