11notes/pocket-id

POCKET-ID

以无root权限和无发行版方式运行pocket-id。

简介 📢

Pocket ID是一个简单的OIDC提供程序，允许用户使用其密钥对您的服务进行身份验证。

概述 📖

我能用它做什么？ 此镜像将以https://github.com/11notes/RTFM/blob/main/linux/container/image/rootless.md和https://github.com/11notes/RTFM/blob/main/linux/container/image/distroless.md方式运行pocket-id，以实现最高安全性。

独特价值主张 💶

为什么我应该运行此镜像而不是其他已存在的镜像？ 好问题！因为...

• ... 此镜像以1000:1000的https://github.com/11notes/RTFM/blob/main/linux/container/image/rootless.md方式运行
• ... 此镜像因https://github.com/11notes/RTFM/blob/main/linux/container/image/distroless.md而没有shell
• ... 此镜像包含健康检查
• ... 此镜像以只读方式运行
• ... 此镜像在发布前后会自动扫描CVE
• ... 此镜像通过安全且固定的CI/CD流程创建
• ... 此镜像体积非常小

如果您重视安全性、简洁性和极致优化，那么此镜像可能适合您。

对比 🏁

以下是此镜像与最常用或原始镜像的对比。

卷 📁

• /pocket-id/var - 您的密钥、上传文件和Geolite数据库（如果设置了许可证）的目录

容器编排示例 ✂️

yaml
name: "idp"

x-lockdown: &lockdown
  # 防止对镜像本身的写访问
  read_only: true
  # 防止容器内任何进程获得更多权限
  security_opt:
    - "no-new-privileges=true"

services:
  postgres:
    # 此镜像的详细信息：https://github.com/11notes/docker-postgres
    image: "docker.xuanyuan.run/11notes/postgres:16"
    <<: *lockdown
    environment:
      TZ: "Europe/Zurich"
      POSTGRES_PASSWORD: "${POSTGRES_PASSWORD}"
      POSTGRES_BACKUP_SCHEDULE: "0 3 * * *"
    volumes:
      - "postgres.etc:/postgres/etc"
      - "postgres.var:/postgres/var"
      - "postgres.backup:/postgres/backup"
    tmpfs:
      - "/postgres/run:uid=1000,gid=1000"
      - "/postgres/log:uid=1000,gid=1000"
    networks:
      backend:
    restart: "always"

  pocket-id:
    depends_on:
      postgres:
        condition: "service_healthy"
        restart: true
    image: "docker.xuanyuan.run/11notes/pocket-id:2.6.2"
    <<: *lockdown
    environment:
      TZ: "Europe/Zurich"
      APP_URL: "${FQDN}"
      TRUST_PROXY: true
      DB_PROVIDER: "postgres"
      DB_CONNECTION_STRING: "postgres://postgres:${POSTGRES_PASSWORD}@postgres:5432/postgres"
      # DB_CONNECTION_STRING: "file:/pocket-id/var/pocket-id.db?_pragma=journal_mode(WAL)&_pragma=busy_timeout(2500)&_txlock=immediate"
    volumes:
      - "pocket-id.var:/pocket-id/var"
    ports:
      - "3000:1411/tcp"
    networks:
      frontend:
      backend:
    restart: "always"

volumes:
  postgres.etc:
  postgres.var:
  postgres.backup:
  pocket-id.var:

networks:
  frontend:
  backend:
    internal: true

要了解如何更改此容器镜像的默认UID/GID，请参考https://github.com/11notes/RTFM/blob/main/linux/container/image/11notes/how-to.changeUIDGID.md#change-uidgid-the-correct-way。

默认设置 🗃️

环境变量 📝

主要标签 🏷️

以下是镜像的主要标签。每个提交及其简写sha256值也有对应的标签。

• https://hub.docker.com/r/11notes/pocket-id/tags?name=2.6.2
• https://hub.docker.com/r/11notes/pocket-id/tags?name=2.6.2-unraid
• https://hub.docker.com/r/11notes/pocket-id/tags?name=2.6.2-nobody

没有latest标签，我该如何处理更新？

我认为:latest标签是一个坏习惯，根本不应该使用。许多开发人员在新版本中引入破坏性变更，这会给使用:latest的人带来麻烦。如果您不想将标签更改为最新的https://semver.org/，只需使用https://semver.org/的短版本。不使用`:2.6.2`，您可以使用`:2`或`:2.6`。由于这些标签会在每个新版本中更新为软件的最新版本，使用它们与使用`:latest`相同，但至少固定在主版本或次版本上，理论上不会引入破坏性变更。

如果您仍然坚持使用此应用的最新版本，只需使用:rolling标签，但请注意！您将立即获得应用的最新版本，无论是否有破坏性变更或安全问题。风险自负！

镜像仓库 ☁️

docker pull docker.xuanyuan.run/11notes/pocket-id:2.6.2
docker pull ***-ghcr.xuanyuan.run/11notes/pocket-id:2.6.2
docker pull ***-quay.xuanyuan.run/11notes/pocket-id:2.6.2

UNRAID版本 🟠

此镜像默认支持Unraid。只需在任何标签后添加-unraid，镜像将以99:100而非1000:1000运行。

NOBODY版本 👻

此镜像默认支持nobody用户。只需在任何标签后添加-nobody，镜像将以65534:65534而非1000:1000运行。

源代码 💾

• https://github.com/11notes/docker-pocket-id

基础镜像 🏛️

此镜像不基于其他镜像，而是使用https://hub.docker.com/_/scratch作为起始层。 该镜像包含以下添加的无发行版层：

• https://github.com/11notes/docker-distroless/blob/master/arch.dockerfile - 包含用户、时区和根CA证书，无其他内容

构建工具 🧰

• https://github.com/pocket-id/pocket-id

通用提示 📌

• 使用Traefik、Nginx、HAproxy等反向代理终止TLS并保护您的端点
• 使用Let’s Encrypt DNS-01挑战获取服务的有效SSL证书

ElevenNotes™️

此镜像提供给您，风险自负。更新镜像到不同版本前请务必备份。查看https://github.com/11notes/docker-pocket-id/releases了解破坏性变更。如果使用此镜像遇到问题，请提交https://github.com/11notes/docker-pocket-id/issues，谢谢。如有问题或建议，请创建新的https://github.com/11notes/docker-pocket-id/discussions而非issue。您可以在https://github.com/11notes?tab=repositories上找到我的所有其他仓库。

创建于 22.04.2026, 09:04:11 (CET)