11notes/tinyauth

TINYAUTH!size!https://raw.githubusercontent.com/11notes/static/refs/heads/master/img/markdown/transparent5x2px.png!pulls!https://raw.githubusercontent.com/11notes/static/refs/heads/master/img/markdown/transparent5x2px.png%5B](https://github.com/11notes/docker-tinyauth/issues)!https://raw.githubusercontent.com/11notes/static/refs/heads/master/img/markdown/transparent5x2px.png!swiss_made

以无root权限和无发行版方式运行tinyauth。

简介 📢

https://github.com/tinyauthapp/tinyauth%EF%BC%88%E7%94%B1https://github.com/steveiliop56%E5%88%9B%E5%BB%BA%EF%BC%89%E6%98%AF%E4%B8%80%E6%AC%BE%E7%AE%80%E5%8D%95%E7%9A%84%E8%AE%A4%E8%AF%81%E4%B8%AD%E9%97%B4%E4%BB%B6%EF%BC%8C%E5%8F%AF%E4%B8%BA%E6%89%80%E6%9C%89Docker%E5%BA%94%E7%94%A8%E6%B7%BB%E5%8A%A0%E7%AE%80%E5%8D%95%E7%99%BB%E5%BD%95%E7%95%8C%E9%9D%A2%E6%88%96%E6%94%AF%E6%8C%81Google%E3%80%81Github%E5%8F%8A%E5%85%B6%E4%BB%96%E6%8F%90%E4%BE%9B%E5%95%86%E7%9A%84OAuth%E8%AE%A4%E8%AF%81%E3%80%82%E5%AE%83%E5%85%BC%E5%AE%B9Traefik%E3%80%81Nginx%E5%92%8CCaddy%E7%AD%89%E4%B8%BB%E6%B5%81%E4%BB%A3%E7%90%86%E3%80%82

概述 📖

能用来做什么？ 本镜像以https://github.com/11notes/RTFM/blob/main/linux/container/image/rootless.md%E5%92%8Chttps://github.com/11notes/RTFM/blob/main/linux/container/image/distroless.md%E6%96%B9%E5%BC%8F%E8%BF%90%E8%A1%8Ctinyauth%EF%BC%8C%E6%8F%90%E5%8D%87%E5%AE%89%E5%85%A8%E6%80%A7%EF%BC%8C%E5%8C%85%E6%8B%AC%E5%9C%A8https://github.com/11notes/docker-tinyauth/blob/master/arch.dockerfile#L51%E7%A6%81%E7%94%A8%E9%81%A5%E6%B5%8B%E5%8A%9F%E8%83%BD%E3%80%82

核心价值 💶

为何选择此镜像而非其他现有镜像？ 原因如下：

• 以https://github.com/11notes/RTFM/blob/main/linux/container/image/rootless.md%E6%96%B9%E5%BC%8F%E8%BF%90%E8%A1%8C%EF%BC%8C%E7%94%A8%E6%88%B7ID/%E7%BB%84ID%E4%B8%BA1000:1000
• 基于https://github.com/11notes/RTFM/blob/main/linux/container/image/distroless.md%E6%9E%84%E5%BB%BA%EF%BC%8C%E6%97%A0shell
• 通过CI/CD自动更新至最新版本
• 包含健康检查
• 支持只读运行
• 发布前后自动扫描CVE漏洞
• 通过安全且固定的CI/CD流程构建
• 镜像体积极小

如果您重视安全性、简洁性和极致优化，此镜像可能适合您。

对比 🏁

以下是本镜像与最常用或原始镜像的对比：

卷 📁

• /tinyauth/var - SQLite数据库和静态资源目录

编排配置 ✂️

yaml
name: "auth"

x-lockdown: &lockdown
  # 防止对镜像本身的写访问
  read_only: true
  # 防止容器内任何进程获取更多权限
  security_opt:
    - "no-new-privileges=true"

services:
  tinyauth:
    image: "11notes/tinyauth:5.0.7"
    <<: *lockdown
    environment:
      TINYAUTH_APPURL: "https://${FQDN_TINYAUTH}"
      TINYAUTH_AUTH_USERS: "admin:$2y$12$zzekhr74SUez9vo8TK2Be.mJ4EMX44k7whOogQo4F/2i84a6Rl6U6"
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.tinyauth.rule=Host(`${FQDN_TINYAUTH}`)"
      - "traefik.http.routers.tinyauth.entrypoints=https"
      - "traefik.http.routers.tinyauth.tls=true"
      - "traefik.http.routers.tinyauth.service=tinyauth"
      - "traefik.http.services.tinyauth.loadbalancer.server.port=3000"
      - "traefik.http.middlewares.tinyauth.forwardauth.address=http://tinyauth:3000/api/auth/traefik"
    volumes:
      - "tinyauth.var:/tinyauth/var"
    networks:
      backend:

  socket-proxy:
    # 有关此镜像的更多信息，请查看：
    # https://github.com/11notes/docker-socket-proxy
    image: "11notes/socket-proxy:2.1.6"
    <<: *lockdown
    user: "0:103"
    volumes:
      - "/run/docker.sock:/run/docker.sock:ro" 
      - "socket-proxy.run:/run/proxy"
    restart: "always"

  traefik:
    # 有关此镜像的更多信息，请查看：
    # https://github.com/11notes/docker-traefik
    depends_on:
      socket-proxy:
        condition: "service_healthy"
        restart: true
    image: "11notes/traefik:3.5.4"
    <<: *lockdown
    command:
      # 这是示例配置，请勿用于生产环境
      - "--ping=true"
      - "--ping.terminatingStatusCode=204"
      - "--global.checkNewVersion=false"
      - "--global.sendAnonymousUsage=false"
      - "--api.dashboard=true"
      - "--api.insecure=true"
      - "--log.level=INFO"
      - "--log.format=json"
      - "--providers.docker.exposedByDefault=false"
      - "--entrypoints.http.address=:80"
      - "--entrypoints.https.address=:443"
    ports:
      - "80:80/tcp"
      - "443:443/tcp"
      - "8080:8080/tcp"
    networks:
      frontend:
      backend:
    volumes:
      - "socket-proxy.run:/var/run"
    sysctls:
      net.ipv4.ip_unprivileged_port_start: 80
    restart: "always"

  whoami:
    image: "traefik/whoami:latest"
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.whoami.rule=Host(`${FQDN_WHOAMI}`)"
      - "traefik.http.routers.whoami.entrypoints=https"
      - "traefik.http.routers.whoami.tls=true"
      - "traefik.http.routers.whoami.middlewares=tinyauth@docker"
      - "traefik.http.routers.whoami.service=whoami@docker"
      - "traefik.http.services.whoami.loadbalancer.server.port=80"
    networks:
      backend:

volumes:
  tinyauth.var:
  socket-proxy.run:

networks:
  frontend:
  backend:
    internal: true

要了解如何更改此容器镜像的默认UID/GID，请参考https://github.com/11notes/RTFM/blob/main/linux/container/image/11notes/how-to.changeUIDGID.md#change-uidgid-the-correct-way%E3%80%82

默认设置 🗃️

环境变量 📝

主要标签 🏷️

以下是镜像的主要标签。另有基于每个提交及其sha256短哈希值的标签。

• https://hub.docker.com/r/11notes/tinyauth/tags?name=5.0.7
• https://hub.docker.com/r/11notes/tinyauth/tags?name=5.0.7-unraid
• https://hub.docker.com/r/11notes/tinyauth/tags?name=5.0.7-nobody

没有latest标签，如何处理更新？

个人认为:latest标签是不良习惯，不应使用。许多开发者在新版本中引入破坏性变更，这会影响使用:latest的用户。如果不想将标签更改为最新语义化版本，可使用语义化版本的短版本。例如，不使用:5.0.7，可使用:5或:5.0。这些标签会在每个新版本发布时更新为软件的最新版本，使用它们与使用:latest类似，但至少固定在主版本或次版本，理论上不会引入破坏性变更。

如果仍坚持使用应用的最新版本，可使用:rolling标签，但请注意！这将立即获取应用的最新版本，无论是否存在破坏性变更或安全问题，风险自负！

镜像仓库 ☁️

docker pull 11notes/tinyauth:5.0.7
docker pull ghcr.io/11notes/tinyauth:5.0.7
docker pull quay.io/11notes/tinyauth:5.0.7

UNRAID版本 🟠

本镜像默认支持unraid。只需在任何标签后添加**-unraid**，镜像将以99:100而非1000:1000运行。

NOBODY版本 👻

本镜像默认支持nobody。只需在任何标签后添加**-nobody**，镜像将以65534:65534而非1000:1000运行。

源代码 💾

• https://github.com/11notes/docker-tinyauth

基础镜像 🏛️

此镜像不基于其他镜像，而是以https://hub.docker.com/_/scratch%E4%B8%BA%E8%B5%B7%E5%A7%8B%E5%B1%82%E3%80%82 镜像包含以下无发行版层：

• https://github.com/11notes/docker-distroless/blob/master/arch.dockerfile - 包含用户、时区和根CA证书，无其他内容
• https://github.com/11notes/docker-distroless/blob/master/localhealth.dockerfile - 仅在127.0.0.1上执行HTTP请求的应用

构建依赖 🧰

• https://github.com/tinyauthapp/tinyauth

通用提示 📌

• 使用Traefik、Nginx、HAproxy等反向代理终止TLS并保护端点
• 使用Let’s Encrypt DNS-01挑战获取服务的有效SSL证书

注意事项 ⚠️

• 示例编排配置包含默认用户账户，请提供您自己的用户账户，不要盲目复制粘贴

ElevenNotes™️

此镜像按"现状"提供，风险自负。更新镜像版本前请务必备份。查看https://github.com/11notes/docker-tinyauth/releases%E4%BA%86%E8%A7%A3%E7%A0%B4%E5%9D%8F%E6%80%A7%E5%8F%98%E6%9B%B4%E3%80%82%E5%A6%82%E4%BD%BF%E7%94%A8%E6%AD%A4%E9%95%9C%E5%83%8F%E9%81%87%E5%88%B0%E9%97%AE%E9%A2%98%EF%BC%8C%E8%AF%B7%E6%8F%90%E4%BA%A4https://github.com/11notes/docker-tinyauth/issues%E3%80%82%E5%A6%82%E6%9C%89%E9%97%AE%E9%A2%98%E6%88%96%E5%BB%BA%E8%AE%AE%EF%BC%8C%E8%AF%B7%E5%88%9B%E5%BB%BA%E6%96%B0https://github.com/11notes/docker-tinyauth/discussions%E8%80%8C%E9%9D%9Eissue%E3%80%82%E5%8F%AF%E5%9C%A8https://github.com/11notes?tab=repositories%E6%9F%A5%E7%9C%8B%E6%89%80%E6%9C%89%E5%85%B6%E4%BB%96%E4%BB%93%E5%BA%93%E3%80%82

创建于2026年5月8日 10:21:36 (CET)