vmirage/gocryptfs

gocryptfs Docker镜像文档

镜像概述和主要用途

gocryptfs Docker镜像是基于https://github.com/rfjakob/gocryptfs%E7%9A%84%E5%AE%B9%E5%99%A8%E5%8C%96%E5%AE%9E%E7%8E%B0%EF%BC%8C%E6%8F%90%E4%BE%9B%E6%96%87%E4%BB%B6%E7%B3%BB%E7%BB%9F%E7%BA%A7%E5%88%AB%E7%9A%84%E9%80%8F%E6%98%8E%E5%8A%A0%E5%AF%86%E4%B8%8E%E8%A7%A3%E5%AF%86%E5%8A%9F%E8%83%BD%E3%80%82%E8%AF%A5%E9%95%9C%E5%83%8F%E9%80%9A%E8%BF%87FUSE%EF%BC%88%E7%94%A8%E6%88%B7%E7%A9%BA%E9%97%B4%E6%96%87%E4%BB%B6%E7%B3%BB%E7%BB%9F%EF%BC%89%E6%8A%80%E6%9C%AF%EF%BC%8C%E5%B0%86%E5%8A%A0%E5%AF%86%E6%96%87%E4%BB%B6%E5%A4%B9%E6%8C%82%E8%BD%BD%E4%B8%BA%E5%8F%AF%E7%9B%B4%E6%8E%A5%E8%AE%BF%E9%97%AE%E7%9A%84%E8%A7%A3%E5%AF%86%E7%9B%AE%E5%BD%95%EF%BC%8C%E5%AE%9E%E7%8E%B0%E6%96%87%E4%BB%B6%E8%AF%BB%E5%86%99%E8%BF%87%E7%A8%8B%E4%B8%AD%E7%9A%84%E8%87%AA%E5%8A%A8%E5%8A%A0%E5%AF%86/%E8%A7%A3%E5%AF%86%EF%BC%8C%E7%AE%80%E5%8C%96%E5%8A%A0%E5%AF%86%E6%96%87%E4%BB%B6%E7%B3%BB%E7%BB%9F%E7%9A%84%E9%83%A8%E7%BD%B2%E4%B8%8E%E7%AE%A1%E7%90%86%E3%80%82

核心功能和特性

• 透明加密/解密：文件读写操作自动进行加密或解密，对用户透明
• FUSE支持：基于FUSE实现用户空间文件系统，无需修改内核
• 多文件夹加密：支持同时挂载多个独立加密文件夹到统一解密目录
• 容器化部署：简化依赖管理，可快速集成到Docker生态系统中
• 轻量级设计：基于官方gocryptfs构建，镜像体积小，资源占用低

使用场景和适用范围

• 个人文件隐私保护：加密本地敏感文件（如文档、照片），防止未授权访问
• 服务器数据安全：保护服务器上的配置文件、日志、用户数据等敏感信息
• 多设备文件同步：加密后通过云存储同步文件，避免数据在传输/存储过程中泄露
• 容器化应用集成：作为微服务架构中的加密存储组件，为应用提供加密存储能力

使用方法和配置说明

前提条件

• 宿主机需支持FUSE（内核版本≥2.6.36）
• Docker引擎版本≥1.12（支持--device参数和命名卷）

基础使用命令（docker run）

bash
docker run -d \
  --restart=unless-stopped \
  --name=gocryptfs \
  --privileged \
  --cap-add SYS_ADMIN \
  --device /dev/fuse \
  -e PASSWD=<your_encryption_password> \
  -v </path/to/host/encrypted/folder1>:/encrypted/folder1 \
  -v </path/to/host/encrypted/folder2>:/encrypted/folder2 \
  -v </path/to/host/decrypted/mount>:/decrypted:shared \
  docker.xuanyuan.run/vmirage/gocryptfs

参数说明

容器权限参数

• --privileged：赋予容器特权模式，确保FUSE正常工作
• --cap-add SYS_ADMIN：添加SYS_ADMIN capabilities，支持文件系统挂载操作
• --device /dev/fuse：挂载宿主机FUSE设备，提供用户空间文件系统支持

环境变量

卷挂载

Docker Compose配置示例

yaml
version: '3'

services:
  gocryptfs:
    image: docker.xuanyuan.run/vmirage/gocryptfs
    container_name: gocryptfs
    restart: unless-stopped
    privileged: true
    cap_add:
      - SYS_ADMIN
    devices:
      - /dev/fuse:/dev/fuse
    environment:
      - PASSWD=your_secure_password  # 建议通过.env文件管理，避免明文
    volumes:
      - /host/path/encrypted/docs:/encrypted/docs
      - /host/path/encrypted/media:/encrypted/media
      - /host/path/decrypted:/decrypted:shared

使用注意事项

1. 密码安全：PASSWD为敏感信息，建议通过Docker Secrets或环境变量文件（如.env）传递，避免直接写在命令或配置文件中
2. 权限设置：宿主机加密文件夹和解密目录需确保容器内用户（通常为root）有读写权限，可通过chmod或chown调整宿主机目录权限
3. 多文件夹挂载：加密文件夹需挂载到/encrypted/下的不同子目录（如/encrypted/docs、/encrypted/media），解密后将在/decrypted下对应显示子目录
4. 容器重启：使用--restart=unless-stopped确保服务异常退出后自动恢复