如何在Docker Compose中禁止exec进入容器并保护代码？只读模式失效

一、防止赞助方获取代码私自使用 #

• 别直接部署带源码的容器，只打包运行所需的产物：比如Java打jar包、Go编译成二进制、Python用pyinstaller转成可执行文件，镜像里只放运行依赖和产物，把源码彻底排除在外。
• 给镜像做加密/签名：用Docker自带的内容信任（Docker Content Trust）给镜像签名，或者用第三方工具加密镜像，只有授权环境才能解密运行。不过得确认赞助方的IaaS支持对应的解密方式。
• 代码混淆：对源码做混淆处理，比如Java用ProGuard、Python用pyarmor，就算对方拿到二进制文件，逆向难度也会大幅提升。
• 限制镜像导出：如果赞助方用私有镜像仓库，配置仓库权限禁止导出镜像；不过如果对方有宿主机权限，这个作用有限，还是优先用无源码的镜像。

二、只读模式容器频繁重启的解决方法 #

容器重启大多是因为应用要写日志、临时文件或缓存，但只读模式下没法写入导致崩溃，试试这些办法：

• 用tmpfs挂载可写目录：在docker-compose.yml里给需要写入的路径配置临时文件系统，比如：

  services:
    app:
      image: your-app-image
      read_only: true
      tmpfs:
        - /var/log/app
        - /tmp
  

  临时文件系统重启后会清空，但不影响应用正常运行。
• 挂载宿主机目录作为可写卷：如果需要持久化保存日志这类内容，就把宿主机的空目录挂载到容器的写入路径：

  services:
    app:
      image: your-app-image
      read_only: true
      volumes:
        - ./host-app-logs:/var/log/app
        - ./host-app-tmp:/tmp
  

• 检查应用写入路径：确认应用有没有硬编码的写入目录，改成配置环境变量指定可写路径，或者调整到允许写入的位置。

三、禁止docker exec -it <container id> bash的方法 #

• 镜像里去掉shell，直接启动应用：构建镜像时，把ENTRYPOINT设为你的应用启动命令，比如ENTRYPOINT ["./your-app-binary"]，同时不安装bash、sh这类shell工具，就算exec进去也没可用的交互环境。
• 配置容器安全选项：在docker-compose.yml里加security_opt: no-new-privileges:true，限制容器内提权操作，就算能exec进去，也很难拿到更高权限搞事情。
• 用Docker授权插件限制命令：在赞助方的Docker daemon上配置授权插件，添加规则禁止exec命令执行。不过这个需要对方配合修改Docker配置。

内容的提问来源于stack exchange，提问作者varun