mwader/static-gm

镜像概述

本镜像内置经过安全加固的静态位置无关可执行（PIE）格式GraphicsMagick二进制程序，无任何外部依赖，可适配任意Linux基础镜像，甚至支持在scratch空镜像环境中直接部署使用。镜像编译时集成了jpeg、png、tiff、webp、JPEG XL等主流图像格式的处理库，量子深度设置为16，提供高性能的图像处理能力。

核心功能

• 全静态编译单二进制文件，部署无需安装任何系统依赖
• 支持JPEG、JPEG2000、PNG、TIFF、WebP、JPEG XL、HEIF/AVIF等主流图像格式处理
• 内置ICC色彩配置文件，保障色彩处理准确性
• 预置空代理配置文件，避免程序因缺失配置文件启动失败
• 二进制开启多项安全加固特性，运行安全性更高

使用场景

• 轻量化Docker镜像构建，为业务镜像快速集成图像处理能力
• 无额外依赖的批量图片格式转换、信息提取、压缩处理场景
• 资源受限的容器环境下执行图像处理任务
• 隔离环境下处理不可信的第三方图片文件

配置说明

1. 基础环境集成 在你的Dockerfile中直接从本镜像拷贝二进制文件即可完成集成：

Dockerfile
COPY --from=mwader/static-gm:1.3.47 /gm /usr/local/bin/
# 如需避免程序尝试加载外部代理配置，可同步拷贝配置文件
COPY --from=mwader/static-gm:1.3.47 /delegates.mgk /usr/local/etc/
ENV MAGICK_CONFIGURE_PATH=/usr/local/etc

2. 环境变量配置

• MAGICK_CONFIGURE_PATH：设置为delegates.mgk文件所在目录，禁止GraphicsMagick尝试调用外部依赖工具
• MAGICK_CODER_STABILITY：建议设置为PRIMARY或STABLE，仅使用经过验证稳定的图像解码器，提升处理不可信文件时的安全性

部署示例

直接运行命令查看图片信息

sh
docker run --rm -u $(id -u):$(id -g) -v "$PWD:$PWD" -w "$PWD" docker.xuanyuan.run/mwader/static-gm:1.3.47 identify test.png

docker-compose使用参考

yaml
version: '3'
services:
  image-processor:
    image: docker.xuanyuan.run/mwader/static-gm:1.3.47
    user: 1000:1000
    volumes:
      - ./data:/data
    working_dir: /data
    command: convert input.jpg output.png

安全建议

即使在容器内运行，也建议使用非root用户身份执行该工具，处理不可信来源的图片文件时建议配置MAGICK_CODER_STABILITY环境变量限制解码器范围，更多安全细节可参考官方GraphicsMagick安全文档。