bellsoft/hardened-nodejs

强化容器 Node.js 镜像

本仓库包含带有 Node.js 及相关工具（npm）的强化容器 Stream 镜像。

该镜像与 https://hub.docker.com/_/node/ 兼容，并具有以下显著改进：

• 为增强安全性，镜像仅包含最少量的软件包，排除包管理器，并配置为以非 root 用户（node）执行应用。
• 支持两种 libc 版本：Musl 和 Glibc。使用 Musl 通常可获得更小的最终镜像体积。
• 镜像包含 https://github.com/krallin/tini%EF%BC%8C%E5%8F%AF%E7%94%A8%E4%BA%8E%E5%8C%85%E8%A3%85 Node 进程以实现正确的信号处理。要启用此功能，需将入口点设置为 ENTRYPOINT ["/usr/sbin/tini", "--"]。
• 默认入口点配置为将所有命令行参数直接传递给 /usr/bin/node 二进制文件。

核心功能和特性

• 安全增强：最小化软件包、无包管理器、非 root 用户运行
• 双 libc 支持：提供 Musl（更小体积）和 Glibc 版本
• 信号处理：集成 tini 以确保正确的进程信号处理
• 兼容性：与 Docker 官方 Node 镜像兼容

使用场景

适用于对安全性要求较高的 Node.js 应用部署，尤其是需要最小化***面、控制镜像体积或确保进程信号正确处理的场景。

使用方法

示例

以下是基于 nodejs.org 的基础 HTTP 服务器应用构建镜像的步骤。

首先创建 server.js 文件，内容如下：

javascript
import { createServer } from 'node:http';

const server = createServer((req, res) => {
  res.writeHead(200, { 'Content-Type': 'text/plain' });
  res.end('Hello World!\n');
});

server.listen(3000, '0.0.0.0', () => {
  console.log('Listening on 0.0.0.0:3000');
});

然后创建 Dockerfile：

dockerfile
FROM bellsoft/hardened-nodejs:musl

WORKDIR /app
COPY server.js .

ENTRYPOINT ["/usr/sbin/tini", "--"]
CMD ["node", "server.js"]

请注意，我们将 tini 配置为入口点，这使镜像能够正确处理信号。

最后，构建并运行镜像：

shell
$ docker build -t hardened-node-example . 
$ docker run --rm -p 3000:3000 hardened-node-example
Listening on 0.0.0.0:3000

访问服务将得到预期结果：

shell
$ curl http://127.0.0.1:3000
Hello World!
$ 

标签

强化容器镜像支持最新的 Node.js 主要版本，并为每种 libc 类型提供标签：

• X-glibc, X.Y-glibc, X.Y.Z-glibc - 指定版本的 Node.js（Glibc）
• X-musl, X.Y-musl, X.Y.Z-musl - 指定版本的 Node.js（Musl）
• glibc - 最新 Node.js 版本（Glibc）
• musl, latest - 最新 Node.js 版本（Musl）

许可证

与所有 Docker 镜像一样，本镜像包含其他软件，这些软件可能以其他许可证分发。

已安装软件组件及其许可证列表可通过在镜像中执行 grep -E '^[PVL]:' /var/lib/apk/db/installed 命令获取。

对于任何预构建镜像的使用，镜像用户有责任确保对本镜像的任何使用均符合其中包含的所有软件的相关许可证要求。