rene
83b1509168
1. VAPID-Keys aus docker-compose.yml und docker-compose.staging.yml entfernt. Werden jetzt aus .env gelesen (env_file war schon da, nur die environment-Override hat die .env-Werte überschrieben). .env auf DS um die 3 Keys ergänzt: - VAPID_PUBLIC_KEY, VAPID_PRIVATE_KEY, VAPID_CONTACT Erst Compose-Änderung wirksam — Push-Notifications funktionieren weiter weil die .env die Werte liefert. 2. Dockerfile-Hardening: Non-root USER appuser. - groupadd/useradd appuser (UID/GID 1000 für DS-Kompatibilität) - chown -R appuser:appuser /app /data nach mkdir - USER appuser vor CMD Memory says DSM ACLs könnten Probleme machen. Falls Container nicht startet → Rückbau. Bei Deploy genau hinsehen. 3. E-Mail-Änderungs-Audit-Punkt: kein Vulnerability gefunden. ProfileUpdate-Schema enthält kein 'email'-Feld. User können ihre E-Mail-Adresse aktuell gar nicht ändern → kein Takeover- Vektor wie im Audit vermutet.
35 lines
1,008 B
Docker
35 lines
1,008 B
Docker
FROM python:3.12-slim
|
|
|
|
WORKDIR /app
|
|
|
|
# System-Dependencies
|
|
RUN apt-get update && apt-get install -y --no-install-recommends \
|
|
gcc \
|
|
ffmpeg \
|
|
&& rm -rf /var/lib/apt/lists/*
|
|
|
|
# Non-root User für Container-Hardening
|
|
# (Synology DSM-Volumes haben ACLs — daher chown auf /data + /app)
|
|
RUN groupadd -r appuser -g 1000 && \
|
|
useradd -r -u 1000 -g appuser -d /app -s /sbin/nologin appuser
|
|
|
|
# Python-Dependencies zuerst (Docker Layer Cache)
|
|
COPY backend/requirements.txt .
|
|
RUN pip install --no-cache-dir -r requirements.txt
|
|
|
|
# App-Code
|
|
COPY backend/ .
|
|
|
|
# Zentrale Version (wird von main.py beim Startup gelesen)
|
|
COPY VERSION /app/VERSION
|
|
|
|
# Media-Verzeichnis + Permissions
|
|
RUN mkdir -p /data/media/dogs /data/media/diary /data/media/poison \
|
|
/data/media/breeds/gallery /data/media/breeds/submissions && \
|
|
chown -R appuser:appuser /app /data
|
|
|
|
USER appuser
|
|
|
|
EXPOSE 8000
|
|
|
|
CMD ["uvicorn", "main:app", "--host", "0.0.0.0", "--port", "8000", "--proxy-headers", "--forwarded-allow-ips=*"]
|