34 lines
1.2 KiB
Docker
34 lines
1.2 KiB
Docker
FROM python:3.12-slim-bookworm
|
|
|
|
# git wird von SkillSpector selbst benötigt, um Git-Repos zu klonen und zu scannen
|
|
RUN apt-get update && apt-get install -y --no-install-recommends \
|
|
git \
|
|
&& rm -rf /var/lib/apt/lists/*
|
|
|
|
# SkillSpector wird bei JEDEM Image-Build frisch vom main-Branch installiert.
|
|
# Kein Versions-Pin -> ein Rebuild holt automatisch die aktuellste Version.
|
|
RUN pip install --no-cache-dir 'skillspector @ git+https://github.com/NVIDIA/skillspector.git'
|
|
|
|
WORKDIR /app
|
|
COPY requirements.txt .
|
|
RUN pip install --no-cache-dir -r requirements.txt
|
|
COPY app.py .
|
|
|
|
# Nicht als root laufen
|
|
RUN useradd -m -u 1000 scanner \
|
|
&& mkdir -p /app/scan-tmp \
|
|
&& chown -R scanner:scanner /app
|
|
USER scanner
|
|
|
|
ENV PYTHONUNBUFFERED=1 \
|
|
SCAN_TMP_DIR=/app/scan-tmp
|
|
|
|
EXPOSE 8000
|
|
|
|
HEALTHCHECK --interval=30s --timeout=5s --retries=3 \
|
|
CMD python3 -c "import urllib.request; urllib.request.urlopen('http://localhost:8000/healthz', timeout=3)"
|
|
|
|
# Ein Worker mit mehreren Threads: Rate-Limit, Concurrency-Semaphore und der
|
|
# Scan-Zähler in app.py sind In-Memory-Zustand und müssen sich einen Prozess teilen.
|
|
CMD ["gunicorn", "--bind", "0.0.0.0:8000", "--workers", "1", "--threads", "4", "--timeout", "310", "app:app"]
|