Docker容器内FastAPI调用外部Bash命令问题求助

问题说明 #

用FastAPI构建了可调用Docker命令的API，将应用打包为Docker容器后，容器内的应用无法执行这些Bash（实际为Docker）命令，希望获取可行解决方案，包括确认是否能让命令在容器外部运行。

现有代码 #

Dockerfile #

FROM python:3.9

WORKDIR /code

COPY ./requirements.txt /code/requirements.txt

RUN pip3 install --no-cache-dir --upgrade -r /code/requirements.txt

COPY ./app /code/app

CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0", "--port", "80"]

FastAPI命令调用代码 #

@app.post("/stop-camera")
async def stop_camera(info: Request):
    req_info =  await info.json()
    file_name = str(req_info["id"])
    result1 = subprocess.run([str(env_dictionary["STOP"])+ file_name], shell = True)
    result2 = subprocess.run([str(env_dictionary["REMOVE"])+ file_name], shell = True)

    return {
        "status" : "SUCCESS",
        "stop" : result1,
        "rm" : result2
    }

可行解决方案 #

方案1：挂载Docker套接字让容器调用宿主机Docker引擎 #

容器内默认没有Docker守护进程（daemon），无法直接执行Docker命令。通过挂载宿主机的Docker套接字，容器内的Docker CLI可以直接和宿主机的Docker daemon通信，执行命令。

步骤：

1. 修改Dockerfile，安装Docker CLI
   python:3.9基础镜像不含Docker命令，需添加安装步骤：

   FROM python:3.9
   
   WORKDIR /code
   
   # 安装Docker CLI
   RUN apt-get update && apt-get install -y --no-install-recommends docker.io \
       && rm -rf /var/lib/apt/lists/*
   
   COPY ./requirements.txt /code/requirements.txt
   
   RUN pip3 install --no-cache-dir --upgrade -r /code/requirements.txt
   
   COPY ./app /code/app
   
   CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0", "--port", "80"]
   

2. 启动容器时挂载Docker套接字
   运行容器时添加挂载参数，将宿主机的/var/run/docker.sock映射到容器内相同路径：

   docker run -d -p 80:80 -v /var/run/docker.sock:/var/run/docker.sock your-image-name
   

3. 优化与安全提示

   • 避免用subprocess直接拼接命令，改用Docker SDK for Python降低shell注入风险：

     import docker
     client = docker.DockerClient(base_url='unix://var/run/docker.sock')
     
     @app.post("/stop-camera")
     async def stop_camera(info: Request):
         req_info = await info.json()
         container_id = str(req_info["id"])
         try:
             container = client.containers.get(container_id)
             container.stop()
             container.remove()
             return {"status": "SUCCESS"}
         except Exception as e:
             return {"status": "FAILED", "error": str(e)}
     

   • 容器内用户默认可能无权限访问套接字，可指定--user root运行容器（安全性较低），或确保容器内用户UID与宿主机docker用户组UID一致。

方案2：让命令在宿主机运行（更安全） #

若不想给容器过高权限，可让FastAPI容器通过间接方式触发宿主机执行命令，避免直接挂载Docker套接字的安全风险。

实现方式：

1. 宿主机部署轻量HTTP服务
   在宿主机运行一个简单HTTP服务，接收FastAPI请求后执行Docker命令。例如用Flask实现：

   # host_script.py
   from flask import Flask, request
   import subprocess
   
   app = Flask(__name__)
   
   @app.post("/execute-docker-cmd")
   def execute_cmd():
       data = request.json
       cmd = data.get("cmd")
       if cmd:
           result = subprocess.run(cmd, shell=True, capture_output=True, text=True)
           return {"stdout": result.stdout, "stderr": result.stderr, "returncode": result.returncode}
       return {"error": "No command provided"}
   
   if __name__ == "__main__":
       app.run(host="0.0.0.0", port=8080)
   

   宿主机启动该脚本：python host_script.py

2. FastAPI容器调用宿主机服务
   修改FastAPI代码，通过HTTP请求调用宿主机服务：

   import requests
   
   @app.post("/stop-camera")
   async def stop_camera(info: Request):
       req_info = await info.json()
       container_id = str(req_info["id"])
       # 替换为宿主机实际IP或Docker网络别名
       host_url = "http://192.168.1.100:8080/execute-docker-cmd"
       
       stop_response = requests.post(host_url, json={"cmd": f"docker stop {container_id}"})
       rm_response = requests.post(host_url, json={"cmd": f"docker rm {container_id}"})
       
       return {
           "status": "SUCCESS",
           "stop": stop_response.json(),
           "rm": rm_response.json()
       }
   

3. 注意事项

   • 确保宿主机防火墙允许容器访问8080端口。
   • 给轻量服务添加身份验证（如API密钥），防止未授权调用。

内容的提问来源于stack exchange，提问作者Raiymbek Kabiyev