Практика: HTTP без root

На стенде хотят запускать сервис без root. Исходный образ возвращает правильный JSON, поэтому переписывать обработчик не требуется. Ваша задача — изменить пользователя запуска, затем доказать, что прежний HTTP-контракт сохранился.

Используйте USER 65532:65532. Проверка запустит образ и исследует фактический UID, а также сделает HTTP-запрос. Одной строки-комментария «non-root» или переменной окружения с таким названием недостаточно.

USER 65532:65532

Сервер должен читать исходник и слушать порт 8000. Он не сохраняет файлы, не открывает домашнюю папку пользователя и не устанавливает пакеты. Поэтому не нужны ни новый пользователь с домашним каталогом, ни chmod 777, ни скачивание утилит.

Расположите USER после подготовки рабочей папки и копирования кода. Оставьте команду запуска в exec-форме. Если меняете приложение для эксперимента, не добавляйте запись в /app: это создаст новое требование, которого в задаче нет.

WORKDIR /app
COPY app.py .
# Здесь задаётся пользователь запуска.
CMD ["python", "app.py"]

Успех состоит из двух утверждений: процесс выполняется с нужным ненулевым UID и сервер продолжает отдавать ожидаемый ответ. Если первое зелёное, а второе нет, изменение прав ещё не готово к использованию.

При ошибке запуска прочитайте журнал до изменения Dockerfile. Отсутствующий файл, запрет чтения и неправильный адрес прослушивания требуют разных исправлений. После успеха объясните, почему принадлежность исходника root не мешает его чтению другим пользователем.

{"message": "Hello, Docker!"}