e7578aa607
用户决策：scope=self-only，strategy=full-acme（容器内跑完整 acme.sh）。 ## 动机 此前 HomeDash 的证书由外部链路提供（.106 acme.sh → .60 → 云主机）， 而容器是**只读**挂载 /etc/nginx/certs（RW=false），续期后没人告诉它的 nginx 重新握手。本 agent 让 HomeDash 自己闭环：签发 → 写数据卷 → reload。 ## 实现 - deploy/cert-agent.sh：supervisord 新增 [program:cert-agent] - 域名从 /app/data/gateway.yml 的 host 提取（或 CERT_DOMAINS 显式指定） - acme.sh 装进**数据卷** /app/data/acme（容器重建不丢续期状态） - install-cert 到 /app/data/certs/，--reloadcmd 设为 nginx -t && nginx -s reload - 续期后比对公钥指纹，变了才 reload（不盲目 reload） - 未配置 CERT_DNS_CRED 时安静退出，行为与现在完全一致 - 证书目录挂载去掉 :ro（自签需要写；此前只读是刻意的保护） - zd-host.sh 的 env 白名单加 CERT_ 前缀，否则升级时凭据传不进新容器 - install-host.sh 同步支持 CERT_DNS_CRED，避免两套脚本行为不一致 - 证书路径改为数据卷 /app/data/certs/（gateway.yml 指向它） ## 测试（沙箱 stub，非真实签发） - 无凭据 → 安静退出、exit 0、不调 acme、不报错 - 有凭据 → 正确从 gateway.yml 提取 2 个域名、识别 dns_ali、 签发参数正确、指纹变化后触发 reload ## 途中修掉自己的两个真 bug ① run_acme 里用 `set -- $DOMAINS` 改函数位置参数，dash 下与后续变量 展开冲突 ② LE_RELOAD 是命令串，直接当命令名执行 → "LE_RELOAD: not found"， 容器里 reload 会**静默失效**；改为函数 + eval ## 边界 只管 HomeDash 自己；introduce/sdk.homeagent 等仍走外部链路。 凭据只从环境变量读，不落盘不入库。
122 lines
5.2 KiB
Docker
122 lines
5.2 KiB
Docker
# 不用 `# syntax=docker/dockerfile:1`：该指令会让 BuildKit 去 pull
|
||
# docker/dockerfile 前端镜像，在无外网/仅代理的环境里会直接构建失败。
|
||
# 本文件未使用任何 BuildKit 专有语法，去掉后走内置前端即可。
|
||
|
||
# ── Stage 1: Go binaries ──
|
||
FROM golang:1.21-bookworm AS gobuild
|
||
|
||
WORKDIR /src/history
|
||
COPY history-server/ .
|
||
RUN GOPROXY=https://goproxy.cn,direct CGO_ENABLED=0 go build -trimpath -ldflags="-s -w" -o /out/history-server .
|
||
|
||
WORKDIR /src/admin
|
||
COPY admin-server/ .
|
||
RUN GOPROXY=https://goproxy.cn,direct go mod tidy && CGO_ENABLED=0 go build -trimpath -ldflags="-s -w" -o /out/admin-server .
|
||
|
||
# ── Stage 2: SearXNG from source ──
|
||
FROM debian:bookworm-slim AS searxng-build
|
||
|
||
# 需要代理时用 --build-arg 传入（默认不设，保证他人环境可直接构建）
|
||
ARG HTTP_PROXY=
|
||
ARG HTTPS_PROXY=
|
||
|
||
ENV DEBIAN_FRONTEND=noninteractive
|
||
ENV http_proxy=${HTTP_PROXY}
|
||
ENV https_proxy=${HTTPS_PROXY}
|
||
ENV HTTP_PROXY=${HTTP_PROXY}
|
||
ENV HTTPS_PROXY=${HTTPS_PROXY}
|
||
|
||
RUN apt-get -o Acquire::Retries=5 -o Acquire::http::Timeout=30 update \
|
||
&& apt-get -o Acquire::Retries=5 install -y --no-install-recommends \
|
||
python3 python3-pip python3-venv git ca-certificates \
|
||
&& rm -rf /var/lib/apt/lists/*
|
||
|
||
RUN git clone --depth 1 https://github.com/searxng/searxng.git /src/searxng \
|
||
&& python3 -m venv /opt/searxng-venv \
|
||
&& /opt/searxng-venv/bin/pip install --upgrade pip setuptools wheel msgspec \
|
||
&& cd /src/searxng \
|
||
&& /opt/searxng-venv/bin/pip install --no-cache-dir -r requirements.txt \
|
||
&& /opt/searxng-venv/bin/pip install --no-cache-dir --no-build-isolation . \
|
||
&& rm -rf /src/searxng
|
||
|
||
# ── Stage 3: browser extension packages ──
|
||
# 供 /extension/install.html 下载（Chromium 用 zip，Firefox 用 xpi）
|
||
FROM debian:bookworm-slim AS extpack
|
||
|
||
RUN apt-get -o Acquire::Retries=5 -o Acquire::http::Timeout=30 update \
|
||
&& apt-get -o Acquire::Retries=5 install -y --no-install-recommends zip ca-certificates \
|
||
&& rm -rf /var/lib/apt/lists/*
|
||
|
||
COPY extension/chrome /src/chrome
|
||
COPY extension/firefox /src/firefox
|
||
# Go 的 -o 会自动建父目录，zip 不会，所以这里必须显式创建 /out
|
||
RUN mkdir -p /out \
|
||
&& cd /src/chrome && zip -qr /out/navi-chrome.zip . \
|
||
&& cd /src/firefox && zip -qr /out/navi-firefox.xpi .
|
||
|
||
# ── Stage 4: Runtime ──
|
||
FROM debian:bookworm-slim
|
||
|
||
ENV DEBIAN_FRONTEND=noninteractive
|
||
|
||
RUN apt-get -o Acquire::Retries=5 -o Acquire::http::Timeout=30 update \
|
||
&& apt-get -o Acquire::Retries=5 install -y --no-install-recommends \
|
||
nginx python3 supervisor curl ca-certificates git \
|
||
&& rm -rf /var/lib/apt/lists/*
|
||
|
||
# Copy SearXNG venv + source
|
||
COPY --from=searxng-build /opt/searxng-venv /app/searxng-venv
|
||
COPY --from=searxng-build /usr/lib/python3.11 /usr/lib/python3.11
|
||
COPY --from=searxng-build /lib/x86_64-linux-gnu /lib/x86_64-linux-gnu
|
||
COPY --from=searxng-build /usr/lib/x86_64-linux-gnu /usr/lib/x86_64-linux-gnu
|
||
|
||
# Dashy static files
|
||
COPY --from=lissy93/dashy:latest /app/dist /app/dashy
|
||
|
||
# Go binaries
|
||
COPY --from=gobuild /out/history-server /usr/local/bin/history-server
|
||
COPY --from=gobuild /out/admin-server /usr/local/bin/admin-server
|
||
|
||
# Config files
|
||
COPY nginx.conf /etc/nginx/nginx.conf
|
||
COPY supervisord.conf /etc/supervisor/conf.d/supervisord.conf
|
||
COPY searxng-settings.yml /etc/searxng/settings.yml
|
||
COPY conf.example.yml /app/defaults/conf.yml
|
||
COPY admin/index.html /app/admin/index.html
|
||
COPY portal /app/portal
|
||
# 站点图标：纸飞机。覆盖 Dashy 自带的 web-icons/favicon-*.png，
|
||
# 这样即使将来上游 index.html 变了、patch 失效，标签栏仍是我们的图标。
|
||
COPY portal/favicon.svg /app/dashy/favicon.svg
|
||
COPY portal/favicon.ico /app/dashy/favicon.ico
|
||
COPY portal/apple-touch-icon.png /app/dashy/apple-touch-icon.png
|
||
COPY portal/web-icons/ /app/dashy/web-icons/
|
||
# 见 zd-host.sh 同名注释：Dashy 前端 JS 运行时会把 icon link 改成
|
||
# /icons/favicon.ico，而镜像里没有 /icons/ 目录，静态改 index.html 无效。
|
||
COPY portal/favicon.ico /app/dashy/icons/favicon.ico
|
||
COPY portal/favicon.svg /app/dashy/icons/favicon.svg
|
||
|
||
# 浏览器扩展安装页与安装包（通过 /extension/ 访问）
|
||
COPY web/extension/install.html /app/dashy/extension/install.html
|
||
COPY --from=extpack /out/navi-chrome.zip /app/dashy/extension/navi-chrome.zip
|
||
COPY --from=extpack /out/navi-firefox.xpi /app/dashy/extension/navi-firefox.xpi
|
||
|
||
# 容器内自动续签（cert-agent）。脚本本身不含任何凭据，凭据只从环境变量读。
|
||
COPY deploy/cert-agent.sh /usr/local/bin/cert-agent
|
||
RUN chmod +x /usr/local/bin/cert-agent
|
||
|
||
# Inject search script into Dashy
|
||
COPY web/navi.js /app/dashy/navi.js
|
||
COPY web/navi.css /app/dashy/navi.css
|
||
COPY web/patch-index.py /tmp/patch-index.py
|
||
# index.html 里不一定有 </body>，用脚本幂等注入，不能靠 sed 替换 </body>。
|
||
RUN python3 /tmp/patch-index.py /app/dashy/index.html
|
||
|
||
# Data directory
|
||
RUN mkdir -p /app/data/item-icons /app/data/gateway /app/data/certs /app/data/acme /var/log/supervisor /var/cache/searxng /run/nginx
|
||
|
||
VOLUME ["/app/data"]
|
||
EXPOSE 18080 3080 3081 8443
|
||
HEALTHCHECK --interval=30s --timeout=5s --start-period=30s --retries=3 \
|
||
CMD curl -fs http://localhost:18080/healthz || exit 1
|
||
CMD ["/usr/bin/supervisord", "-c", "/etc/supervisor/conf.d/supervisord.conf"]
|