树莓派Rootless Docker环境下，其他用户能否访问容器内Python脚本？

其他用户能否访问容器内的Python脚本？ #

按你当前的配置，普通用户无法直接访问容器内的Python脚本，原因如下：

• 普通用户不属于docker用户组，没有权限执行docker exec、docker cp等命令来查看/导出容器内文件；
• admin账户主目录权限已限制普通用户访问，本地的Dockerfile、Python源码文件他们无法读取；
• 只要你没有将容器内的源码目录挂载到普通用户可访问的系统路径，也没有通过容器端口暴露源码内容，普通用户就没办法接触到容器内的脚本。

保障源码不被轻易窃取的实用方法 #

• 锁死本地源码文件权限：将admin主目录权限设为700（仅所有者可读可写可执行），源码文件设为600（仅所有者可读可写），执行命令：

  chmod 700 /home/admin
  chmod 600 /home/admin/*.py /home/admin/Dockerfile
  

• 容器构建用多阶段构建，不包含原始源码：修改Dockerfile，第一阶段用Python镜像编译脚本生成.pyc文件，第二阶段用轻量镜像只复制.pyc和依赖，不保留.py源码。示例：

  # 构建阶段
  FROM python:3.11-slim as builder
  WORKDIR /app
  COPY ./*.py ./
  RUN python -m compileall .
  
  # 运行阶段
  FROM python:3.11-alpine
  WORKDIR /app
  COPY --from=builder /app/__pycache__/ ./
  # 安装依赖等
  CMD ["python", "-m", "script"]
  

• 将Python脚本打包为二进制文件：用pyinstaller把脚本打包成无源码的二进制可执行文件，再放进容器。打包命令：

  pyinstaller --onefile your_script.py
  

  然后在Dockerfile里复制生成的dist/your_script到容器，直接运行二进制文件，完全避免源码暴露。
• 禁用容器的不必要权限：Rootless模式下，给容器添加--read-only参数（或在docker-compose.yml里设置read_only: true），限制容器内的写操作；同时指定容器运行用户为非root用户，降低被突破后的风险。
• 不要挂载本地源码到容器：如果用了volumes挂载本地源码目录到容器，就算本地权限管好，一旦容器被突破也可能泄露源码，建议直接把产物打包进镜像，而非挂载源码。

内容的提问来源于stack exchange，提问作者Charlie