安全性

Question

我有一个简单的Dockerfile：

FROM python:3.6-alpine
RUN apk add -U --no-cache gcc build-base linux-headers ca-certificates python3-dev libffi-dev libressl-dev libxslt-dev
COPY requirements.txt requirements.txt
RUN pip install -r requirements.txt
COPY . app/
WORKDIR /app

ENV FLASK_APP app.py

EXPOSE 5000
ENTRYPOINT [ "python" ]

CMD ["-m", "flask", "run"]

当我在本地（不在docker中）运行应用程序时，一切都很好。但是，由于整个应用程序已移至/app工作目录，因此不再识别模块。我需要这样做才能使其正常工作：

from app.my_module import MyClass

如何告诉python根是/app而不是/？

Answer 1

问题

ENV FLASK_APP app.py

将其更改为：

ENV FLASK_APP=/app/app.py

CMD [“ -m”，“烧瓶”，“运行”]

您只需要flask run -h 0.0.0.0而不是python -m flask run ...，如果这样做，则可以完全删除ENTRYPOINT行，或者将flask指令添加到ENTRYPOINT并删除CMD一条。

在容器内运行时需要

-h 0.0.0.0，否则它将绑定到容器内本地主机的127.0.0.1，因此无法从主机浏览器访问。

ENTRYPOINT [“ python”]

您正在安装Python 3，但是您似乎正在使用Python 2 ...请检查python确实指向要在其中运行应用程序的Python版本。

安全性

永远不要以root用户身份在docker容器内运行应用程序，就像您在裸机服务器或VPS中一样。只需创建一个普通用户并以无特权的方式运行该应用程序即可。

更好的解决方案

将此Dockerfile用于Python服务器，以启发您的用例。

只需将Dockerfile修改为从alpine开始，并用Alpine中的等效命令替换ubuntu的命令即可。

FROM ubuntu:18.04

ARG CONTAINER_USER="python"
ARG CONTAINER_UID="1000"
ARG DISPLAY=":0.0"
ARG ZSH_THEME="robbyrussell"

# Will not prompt for questions
ENV DEBIAN_FRONTEND=noninteractive \
    CONTAINER_USER=python \
    CONTAINER_UID=1000 \
    ROOT_CA_DIR=/root-ca/ \
    PROXY_CA_FILENAME="FirewallProxyCA.crt" \
    PROXY_CA_PEM="certificates/FirewallProxyCA.crt" \
    PROXY_CA_NAME="FirewallProxy"

COPY ./setup ${ROOT_CA_DIR}

RUN apt update && \
    apt -y upgrade && \
    apt -y install \
      ca-certificates \
      locales \
      tzdata \
      inotify-tools \
      libnss3-tools \
      curl \
      git \
      zsh \
      unzip \
      libxss1 \
      python-pip \
      python3-pip && \

    locale-gen en_GB.UTF-8 && \
    dpkg-reconfigure locales && \

    #https://github.com/guard/listen/wiki/Increasing-the-amount-of-inotify-watchers
    printf "fs.inotify.max_user_watches=524288\n" >> /etc/sysctl.conf && \

    useradd -m -u ${CONTAINER_UID} -s /bin/bash ${CONTAINER_USER} && \

    cd ${ROOT_CA_DIR} && \
    ./add-proxy-certificate.sh "${PROXY_CA_PEM}" && \

    # Install Oh My Zsh for Root and Node user
    bash -c "$(curl -fsSL https://raw.githubusercontent.com/robbyrussell/oh-my-zsh/master/tools/install.sh)" && \
    chsh -s /usr/bin/zsh && \
    cp -R /root/.oh-my-zsh /home/"${CONTAINER_USER}" && \
    cp /root/.zsh* /home/"${CONTAINER_USER}" && \
    sed -i "s/\/root/\/home\/${CONTAINER_USER}/g" /home/"${CONTAINER_USER}"/.zshrc && \
    chown -R "${CONTAINER_USER}":"${CONTAINER_USER}" /home/"${CONTAINER_USER}" && \
    sed -i s/ZSH_THEME=\"robbyrussell\"/ZSH_THEME=\"${ZSH_THEME}\"/g /home/${CONTAINER_USER}/.zshrc

ENV LANG=en_GB.UTF-8 \
    LANGUAGE=en_GB:en \
    LC_ALL=en_GB.UTF-8

USER ${CONTAINER_USER}

RUN pip3 install \
      flask \
      pyjwt \
      python-dotenv \
      docopt

# pip install will put the executables under ~/.local/bin
ENV PATH=/home/"${CONTAINER_USER}"/.local/bin:$PATH

WORKDIR /home/${CONTAINER_USER}/workspace

EXPOSE 5000

CMD ["zsh"]

查看如何从this bash脚本开始：


#!/bin/bash

set -eu

CONTAINER_USER="$(id -u)"

HTTP_PORT=5000


function Create_Docker_Container
{
    local _command="${1:-zsh}"
    local _user="${2? Missing user name or uid for the container we want to stop!!!}"
    local _port="${3? Missing http port for the container we want to stop!!!}"
    local _server_name="${4? Missing server name for the container we want to stop!!!}"
    local _container_name="python-flask-${_user}-${_server_name}-${_port}"

    sudo docker run \
        -it \
        --rm \
        --user "${_user}" \
        --env-file .env \
        --env "FLASK_APP=server/${_server_name}.py" \
        --env "HTTP_PORT=${_port}" \
        --name "${_container_name}" \
        --publish "127.0.0.1:${_port}:5000" \
        --workdir "/home/python/workspace" \
        --volume "$PWD:/home/python/workspace" \
        approov/python-flask ${_command}
}

Create_Docker_Container "flask run -h 0.0.0.0" "${CONTAINER_USER}" "${HTTP_PORT}" "original-server"

.env文件：

HTTP_PORT=5000
FLASK_APP=server/original-server.py
FLASK_ENV=development

如何将python根设置为Dockerfile工作目录

1 个答案:

问题

安全性

更好的解决方案