如何禁止Alpine镜像Docker容器中Chromium的网络访问？

完全可行，下面给你几种实用的实现方式，可根据需求选择：

方式1：启动容器时彻底隔离网络 #

无需修改Dockerfile，运行容器时添加--network none参数，让容器完全没有网络栈：

docker run --network none your-image-tag

这种方式最直接，整个容器都无法联网，完全符合你仅处理本地HTML文件的需求，安全性最高。

方式2：给Chromium添加启动参数禁用网络 #

Chromium本身支持禁用网络的启动参数，你可以在调用Chromium时添加以下参数：

• --offline：强制Chromium进入离线模式
• --disable-network：直接禁用网络功能
• --disable-features=NetworkService：关闭Chromium的网络服务模块

如果你的CMD app是直接启动Chromium的脚本，修改Dockerfile的CMD部分（假设要打开的本地文件是local-print.html）：

CMD ["chromium-browser", "--offline", "--disable-network", "--disable-features=NetworkService", "local-print.html"]

如果app是自定义脚本，就在脚本里给Chromium命令加上这些参数即可。

方式3：容器内用iptables阻断网络（需特权模式） #

如果需要在容器内部限制网络，可通过iptables规则实现，但Alpine默认没有iptables，需先安装，同时启动容器时要加--privileged权限：
修改后的Dockerfile：

FROM alpine:3

RUN apk upgrade --no-cache --available && apk add --no-cache chromium iptables

# 阻断所有出站网络请求
RUN iptables -P OUTPUT DROP

COPY /app/ .

CMD app

这种方式需要特权模式，不如前两种便捷，仅适合有特殊需求的场景。

内容的提问来源于stack exchange，提问作者Fred Hors