🦕 TundraSoft Deno 运行时镜像

一个轻量级、安全的 Deno 运行时镜像，基于 Alpine Linux 构建，带有 S6 叠加层、全面的权限管理和开发者友好的工具。

![GitHub Workflow Status]([] ![Security Scan]([] ![Docker Pulls]([] ![License]([]

---

📋 目录

• 🚀 快速开始
• 🏷️ 可用标签
• ✨ 特性
• 📖 使用方法
  • 基本使用
  • 环境变量
  • 权限标志
  • 卷
• ⚙️ 服务管理
• 🔧 构建
• 🔒 安全性
• 📚 组件
• 🤝 贡献指南

---

🚀 快速开始

📦 可用仓库

此镜像可在多个仓库获取：

• Docker Hub: tundrasoft/deno
• GitHub 容器仓库: ghcr.io/tundrasoft/deno

# 从 Docker Hub 拉取（推荐）
docker pull tundrasoft/deno:latest

# 从 GitHub 容器仓库拉取
docker pull ghcr.io/tundrasoft/deno:latest

# 运行简单的 Deno 应用
docker run -d \
  -p 8080:8080 \
  -e FILE=[***] \
  --name deno-app \
  tundrasoft/deno:latest

# 使用自定义时区和权限运行
docker run -d \
  -e TZ=Asia/Shanghai \
  -e ALLOW_NET=1 \
  -e ALLOW_READ=1 \
  -v $(pwd):/app \
  --name my-deno-app \
  tundrasoft/deno:latest

---

🏷️ 可用标签

标签

---

✨ 特性

• 🦕 最新 Deno 运行时 - 现代 JavaScript/TypeScript 运行时
• 🐧 Alpine Linux 基础 - 轻量级、安全的基础操作系统
• 🔧 S6 叠加层 - 高级进程管理和服务管理
• 👤 预配置用户 - 非 root 用户 tundra（UID/GID: 1000）
• 🔒 细粒度权限 - 对 Deno 运行时权限的精细控制
• 🌍 时区支持 - 便捷的时区配置
• ⏰ Cron 支持 - 通过环境变量动态加载 cron 任务
• 📊 健康监控 - 内置健康检查用于应用监控
• 🔄 envsubst - 配置文件中的环境变量替换

---

📖 使用方法

基本使用

在 Dockerfile 中用作基础镜像：

# 从 Docker Hub
FROM tundrasoft/deno:latest
# 此处添加您的 Deno 应用设置
COPY . /app

# 从 GitHub 容器仓库
FROM ghcr.io/tundrasoft/deno:latest
# 此处添加您的 Deno 应用设置
COPY . /app

对于特定版本：

FROM tundrasoft/deno:2.1.4
# 或使用特定 Alpine 版本
FROM tundrasoft/deno:alpine-3.20-2.1.4

🎯 运行应用

运行远程脚本：

docker run -p 8080:8080 \
  -e FILE=[***] \
  -e ALLOW_NET=1 \
  tundrasoft/deno:latest

使用 Deno 任务运行：

docker run -v $(pwd):/app \
  -e TASK=start \
  -e ALLOW_ALL=1 \
  tundrasoft/deno:latest

运行本地应用：

docker run -v $(pwd):/app \
  -e FILE=/app/main.ts \
  -e ALLOW_NET=api.example.com \
  -e ALLOW_READ=/app \
  tundrasoft/deno:latest

环境变量

权限标志

这些环境变量控制 Deno 运行时权限（仅在 FILE 模式下使用）：

📚 参考： Deno 权限文档

卷

---

⚙️ 服务管理

此镜像使用 S6 Overlay 进行高级进程管理和服务管理。

🎯 服务触发器

S6 通过触发点提供依赖管理：

📋 内置服务

💡 健康监控

内置健康检查每 30 秒运行一次：

HEALTHCHECK --interval=30s --timeout=5s --start-period=30s CMD /usr/bin/healthcheck.sh

---

🔧 构建

🏗️ 构建命令

docker build \
  --build-arg ALPINE_VERSION=3.20 \
  --build-arg DENO_VERSION=2.1.4 \
  -t my-deno-image .

⚙️ 构建参数

---

🔒 安全性

此仓库实施全面的安全扫描和最佳实践：

• 🛡️ 多层扫描 - 使用 Trivy、CodeQL、Semgrep 和 Grype
• 🔍 密钥检测 - 使用 GitLeaks（在构建过程早期运行）
• 📊 自动报告 - 报告至 GitHub Security 标签页
• 🔄 每日安全扫描 - 漏洞监控
• 🔐 非 root 执行 - 应用以 tundra 用户（UID/GID 1000）运行
• 🚫 最小攻击面 - 仅包含必要软件包
• 🎯 权限管理 - 对 Deno 运行时权限的细粒度控制

🛡️ 安全最佳实践

容器运行时安全：

# 使用只读根文件系统运行
docker run --read-only --tmpfs /tmp --tmpfs /run tundrasoft/deno:latest

# 使用特定用户并删除功能
docker run --user 1000:1000 --cap-drop=ALL tundrasoft/deno:latest

# 限制资源
docker run --memory=512m --cpus=1 --pids-limit=100 tundrasoft/deno:latest

# 限制网络访问到特定域名
docker run -e ALLOW_NET=api.example.com,cdn.jsdelivr.net tundrasoft/deno:latest

文件系统安全：

# 将应用文件挂载为只读
docker run -v $(pwd):/app:ro tundrasoft/deno:latest

# 使用特定的读写权限
docker run -e ALLOW_READ=/app,/etc/ssl -e ALLOW_WRITE=/tmp tundrasoft/deno:latest

# 安全挂载密钥
docker run -v /host/secrets:/secrets:ro,Z -e ALLOW_READ=/secrets tundrasoft/deno:latest

生产环境部署：

# 始终使用特定版本标签
docker run tundrasoft/deno:2.1.4 # 而非 'latest'

# 使用自定义网络
docker network create --driver bridge secure-app-net
docker run --network secure-app-net tundrasoft/deno:2.1.4

# 启用日志记录
docker run --log-driver=json-file --log-opt max-size=10m tundrasoft/deno:2.1.4

有关安全问题，请使用 GitHub 的私有漏洞报告。

---

📚 组件

🦕 Deno 运行时

现代、安全的 JavaScript 和 TypeScript 运行时，基于 V8 和 Rust 构建。提供：

• 内置 TypeScript 支持
• 默认安全（显式权限）
• 标准库和工具
• Web API 兼容性

🏔️ Alpine Linux

轻量级、注重安全的 Linux 发行版，占用空间小。

🔧 S6 Overlay

用于容器的高级初始化系统和进程管理器。提供：

• 服务依赖管理
• 进程监控和重启
• 优雅关闭处理

⏰ Cron 支持

完整的 cron 守护进程，支持动态任务加载和环境变量替换。

🔄 envsubst

GNU gettext 工具，用于配置文件中的环境变量替换。

🌍 时区支持

完整的时区数据库，通过 TZ 环境变量轻松配置。

📚 其他组件

• GlibC - Deno 运行时兼容性所需
• 健康监控 - 内置应用状态健康检查

---

🤝 贡献指南

1. 🍴 Fork 本仓库
2. 🌟 创建 功能分支：git checkout -b feature/amazing-feature
3. 💾 提交 更改：git commit -m 'Add amazing feature'
4. 📤 推送 到分支：git push origin feature/amazing-feature
5. 🔄 打开 拉取请求

📋 问题模板

• 🐛 错误报告 - 报告镜像问题
• ✨ 功能请求 - 建议改进
• 🔒 安全问题 - 使用私有漏洞报告

---