abdennour/nginx-distroless-unprivileged

概述

安全的Nginx镜像 abdennour/nginx-distroless-unprivileged 具备以下特性：

• 运行在8080端口，不支持1024以下端口
• 使用非root用户运行
• 进程使用的文件由指定用户所有
• 无发行版镜像（无包管理器、无shell等）

该镜像结合了两个基础镜像：

• docker.io/nginxinc/docker-nginx-unprivileged（作为基础镜像）
• docker.io/kyos0109/nginx-distroless（作为后续层）
• 以及其他自定义指令

核心功能

1. 非特权运行：使用非root用户（1001）执行，降低容器权限风险
2. 无发行版设计：移除多余组件（如shell、包管理器），减少***面
3. 端口限制：仅支持1024以上端口，避免特权端口使用
4. 安全隔离：无法通过exec进入容器执行命令，增强运行时安全性

使用场景

• 部署静态HTML网站
• 托管单页应用（SPA）如React、Vue项目
• 构建轻量级、安全的Web服务容器

配置说明

基础使用

sh
docker run --rm -p 8998:8080 --name secure-web -d abdennour/nginx-distroless-unprivileged

访问浏览器：http://localhost:8998
尝试进入容器执行命令会失败（无shell）：

sh
docker exec -it secure-web sh # 错误
docker exec -it secure-web ash # 无响应
docker exec -it secure-web ls # 无响应
# 可查看日志
docker logs -f secure-web

挂载自定义网站目录

sh
docker run --rm -p 9988:8080 \
  -v ./assets:/usr/share/nginx/html:ro \
  --name example-2 -d \
  abdennour/nginx-distroless-unprivileged:1.18
# ./assets为宿主机目录，包含HTML文件

扩展镜像添加静态资源

Dockerfile
# 构建静态资源
FROM alpine:3.12 as web-assets
WORKDIR /assets
RUN echo "<h1>安全Nginx示例</h1>" > /assets/index.html

# 基于安全镜像构建
FROM abdennour/nginx-distroless-unprivileged as release
WORKDIR /usr/share/nginx/html
COPY --from=web-assets --chown=1001:0 /assets/. .
EXPOSE 8080
USER 1001

React SPA应用示例

自定义Nginx配置（./config/default.conf）

conf
server {
  listen 9090; # 1024以上端口
  location / {
    root /opt/app; # SPA根目录
    index index.html index.htm;
    try_files $uri $uri/ /index.html; # SPA路由支持
    expires -1; # 缓存策略
  }
  error_page 500 502 503 504 /50x.html;
  location = /50x.html {
    root /opt/app;
  }
}

Dockerfile

Dockerfile
# 构建React应用
FROM node:14-alpine as build
WORKDIR /code
COPY package.json package-lock.json ./
RUN npm install
COPY . .
RUN npm run build # 输出到/code/build

# 构建发布镜像
FROM abdennour/nginx-distroless-unprivileged as release
WORKDIR /opt/app
COPY --chown=1001:0 ./config /etc/nginx/conf.d # 复制自定义配置
COPY --from=build --chown=1001:0 /code/build/. . # 复制SPA资源
EXPOSE 9090
USER 1001