mwaeckerlin/nextcloud

极简安全的Nextcloud Docker镜像

这是一个轻量且加固的Nextcloud镜像栈，包含两个镜像：

• https://github.com/mwaeckerlin/nextcloud-nginx：仅608MB的NGINX Nextcloud前端
• https://github.com/mwaeckerlin/nextcloud：仅868MB的PHP-FPM Nextcloud后端

这种拆分符合Docker单进程理念和NGINX将PHP处理分离的设计，遵循微服务架构。两者结合是最轻量化且安全的Nextcloud镜像：

• 极小体积，依赖最少
• 无shell，仅运行服务命令
• ***面小
• 以非root用户启动
• 配置和密钥仅在后端服务中隐藏
• NGINX前端中的所有PHP文件为空存根
• 密码从不放在环境变量中，通过Docker secrets传递

核心功能

1. 轻量安全：镜像体积远小于官方镜像，减少***面，非root运行
2. 微服务架构：分离前端和后端，网络隔离且加密
3. 安全配置：密码通过Docker secrets传递，避免环境变量暴露
4. 持久化存储：支持数据、配置和应用的持久化卷
5. WebSocket支持：原生支持实时应用的WebSocket代理
6. Collabora集成：无缝集成Collabora Office，提供在线文档编辑

使用场景

• 个人或家庭搭建私有云存储，安全管理文件
• 企业内部协作平台，实现文件共享和在线编辑
• 开发或测试环境快速部署Nextcloud服务
• 需要高安全性和轻量化的云存储解决方案

配置说明

卷/持久化

所有可变Nextcloud数据存储在三个目录：

Secrets

密码通过Docker secrets传递，挂载为只读tmpfs文件，不暴露在环境变量中。需要两个secrets：

Docker Compose部署示例

生成密码并启动：

sh
printf "NEXTCLOUD_DB_PASSWORD=%s\nNEXTCLOUD_ADMIN_PASSWORD=%s\n" \
  "$(pwgen -sy 40 1)" "$(pwgen -sy 40 1)" > .env
docker compose up

完整docker-compose.yml配置：

yaml
services:
  nextcloud-nginx:
    image: docker.xuanyuan.run/mwaeckerlin/nextcloud:nginx
    environment:
      WEBROOT:
    ports:
      - "8824:8080"
    volumes:
      - nc-apps:/app/custom_apps:ro
    networks:
      - php-network
      - collabora-network

  nextcloud-php-fpm:
    image: docker.xuanyuan.run/mwaeckerlin/nextcloud:php-fpm
    environment:
      HOST: localhost:8824
      PROTOCOL: http
      WEBROOT:
      ADMIN_USER: admin
      MYSQL_HOST: nextcloud-db
      MYSQL_USER: nextcloud
      MYSQL_DATABASE: nextcloud
    secrets:
      - nextcloud_db_password
      - nextcloud_admin_password
    volumes:
      - nc-data:/app/data
      - nc-config:/app/config
      - nc-apps:/app/custom_apps
      - ./php-fpm/custom.config.php:/app/config/custom.config.php:ro
    networks:
      - php-network
      - db-network
      - smtp-network
      - collabora-network

  smtp-relay:
    image: docker.xuanyuan.run/mwaeckerlin/smtp-relay
    networks:
      - smtp-network

  collabora:
    image: docker.xuanyuan.run/collabora/code
    environment:
      server_name: localhost:8824
      domain: nextcloud-nginx|localhost
      aliasgroup1: http://nextcloud-nginx:8080,http://localhost:8824
      extra_params: --o:ssl.enable=false --o:ssl.termination=false
    cap_add:
      - MKNOD
    networks:
      - collabora-network

  nextcloud-db:
    image: docker.xuanyuan.run/mariadb:11.8
    environment:
      MYSQL_DATABASE: nextcloud
      MYSQL_USER: nextcloud
      MYSQL_PASSWORD_FILE: /run/secrets/nextcloud_db_password
      MYSQL_RANDOM_ROOT_PASSWORD: "yes"
    secrets:
      - nextcloud_db_password
    volumes:
      - nc-dbdata:/var/lib/mysql
    networks:
      - db-network

  access-fix:
    image: docker.xuanyuan.run/mwaeckerlin/allow-write-access
    volumes:
      - nc-data:/app/data
      - nc-config:/app/config
      - nc-apps:/app/custom_apps

secrets:
  nextcloud_db_password:
    environment: NEXTCLOUD_DB_PASSWORD
  nextcloud_admin_password:
    environment: NEXTCLOUD_ADMIN_PASSWORD

volumes:
  nc-data:
  nc-config:
  nc-apps:
  nc-dbdata:

networks:
  php-network:
    driver_opts:
      encrypted: "1"
  db-network:
    driver_opts:
      encrypted: "1"
  smtp-network:
    driver_opts:
      encrypted: "1"
  collabora-network:
    driver_opts:
      encrypted: "1"