snoopy
49870dcd56
Rend une instance exposee sur Internet exploitable sans la transformer en infrastructure : le produit reste local-first, sans compte et sans telemetrie. Protection du service : limitation de debit en memoire par client et par famille d'endpoint (health et ready jamais limites), interrupteur SHARING_ENABLED, capacite maximale de partages, taille propre aux partages. X-Forwarded-For n'est cru que si TRUST_PROXY_HEADERS l'autorise, et on lit alors la derniere valeur, celle ajoutee par le proxy. Expiration facultative des partages (24 h a 90 jours, ou jamais) : un lien expire repond 410 et la page publique le dit, sans autre detail. Le proprietaire peut prolonger ; aucune purge automatique. Protection des liens non repertories : robots.txt, X-Robots-Tag et meta robots sur /s/ et /api/, Referrer-Policy no-referrer sur tout le site, redaction des jetons dans les journaux d'acces, share_token porte a 128 bits (les anciens restent valides). Schema gere par Alembic, applique au demarrage. Une base creee avant Alembic est estampillee puis migree : verifie sur la base reelle de developpement, 4 partages inchanges et expires_at NULL. Administration par CLI locale au conteneur (stats, liste, suppression, purge, sauvegarde a chaud via l'API SQLite, restauration prudente) : aucune interface /admin exposee. Le jeton de gestion peut enfin etre exporte dans un fichier .openmind-share puis reimporte depuis un autre navigateur, apres verification aupres du serveur. Il n'est toujours jamais ajoute a un export .mmap. Ajoute une page /privacy dont le texte est centralise, et corrige un bug trouve en observant les logs : Alembic, lance dans le processus applicatif, reappliquait la configuration de logs d'alembic.ini et desactivait les loggers existants, ce qui faisait disparaitre les journaux d'acces. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
71 lines
2.4 KiB
Docker
71 lines
2.4 KiB
Docker
# syntax=docker/dockerfile:1
|
|
|
|
# ---------------------------------------------------------------------------
|
|
# Etape 1 : compilation du frontend React / Vite
|
|
# ---------------------------------------------------------------------------
|
|
FROM node:20-alpine AS frontend-build
|
|
|
|
WORKDIR /build
|
|
|
|
# Les dependances sont installees avant le code source pour profiter du cache.
|
|
COPY frontend/package.json frontend/package-lock.json ./
|
|
RUN npm ci --no-audit --no-fund
|
|
|
|
COPY frontend/ ./
|
|
RUN npm run build
|
|
|
|
# ---------------------------------------------------------------------------
|
|
# Etape 2 : dependances Python
|
|
# ---------------------------------------------------------------------------
|
|
FROM python:3.12-slim AS backend-deps
|
|
|
|
ENV PIP_NO_CACHE_DIR=1 \
|
|
PIP_DISABLE_PIP_VERSION_CHECK=1
|
|
|
|
WORKDIR /install
|
|
COPY backend/requirements.txt ./
|
|
RUN pip install --prefix=/opt/python -r requirements.txt
|
|
|
|
# ---------------------------------------------------------------------------
|
|
# Etape 3 : image finale (un seul service : FastAPI sert l'API et le frontend)
|
|
# ---------------------------------------------------------------------------
|
|
FROM python:3.12-slim AS runtime
|
|
|
|
ENV PYTHONUNBUFFERED=1 \
|
|
PYTHONDONTWRITEBYTECODE=1 \
|
|
PATH="/opt/python/bin:$PATH" \
|
|
PYTHONPATH="/opt/python/lib/python3.12/site-packages" \
|
|
STATIC_DIR=/app/static \
|
|
DATABASE_URL=sqlite:////app/data/openmind.db
|
|
|
|
# curl sert uniquement au healthcheck du conteneur.
|
|
RUN apt-get update \
|
|
&& apt-get install --no-install-recommends -y curl \
|
|
&& rm -rf /var/lib/apt/lists/*
|
|
|
|
# L'application ne tourne jamais en root.
|
|
RUN useradd --create-home --uid 10001 openmind
|
|
|
|
WORKDIR /app
|
|
|
|
COPY --from=backend-deps /opt/python /opt/python
|
|
COPY backend/app ./app
|
|
COPY backend/alembic.ini ./alembic.ini
|
|
COPY backend/migrations ./migrations
|
|
COPY docker-entrypoint.sh /usr/local/bin/docker-entrypoint.sh
|
|
COPY --from=frontend-build /build/dist ./static
|
|
|
|
RUN chmod +x /usr/local/bin/docker-entrypoint.sh
|
|
|
|
RUN mkdir -p /app/data && chown -R openmind:openmind /app
|
|
|
|
USER openmind
|
|
EXPOSE 8080
|
|
|
|
HEALTHCHECK --interval=30s --timeout=5s --start-period=10s --retries=3 \
|
|
CMD curl -fsS http://127.0.0.1:8080/api/health || exit 1
|
|
|
|
# Les migrations sont appliquees par l'entrypoint, avant le demarrage d'uvicorn.
|
|
ENTRYPOINT ["/usr/local/bin/docker-entrypoint.sh"]
|
|
CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0", "--port", "8080", "--proxy-headers"]
|