william
e94d23b1bf
The named Docker volume mounted at /app/projects is created by Docker as root before the container starts, so the image's build-time chown never applies to it. A root-owned volume made the app (running as the non-root forge user) unable to write new game folders in production. Add an entrypoint that chowns /app/projects to forge at each startup, then drops privileges before exec'ing gunicorn.
15 lines
674 B
Bash
15 lines
674 B
Bash
#!/bin/sh
|
|
# Un volume Docker nommé (ex: forge_projects, voir docker-compose.prod.yml)
|
|
# est créé par Docker lui-même, propriété de root, AVANT que le conteneur ne
|
|
# démarre — le "chown" fait au build de l'image (voir Dockerfile) n'a donc
|
|
# aucun effet dessus une fois monté par-dessus /app/projects. On corrige ici,
|
|
# à chaque démarrage (idempotent, sans risque à répéter), puis on abandonne
|
|
# les privilèges root pour lancer le vrai serveur en tant qu'utilisateur
|
|
# "forge" — ce script tourne donc brièvement en root, uniquement pour ça.
|
|
set -e
|
|
|
|
mkdir -p /app/projects
|
|
chown -R forge:forge /app/projects
|
|
|
|
exec su forge -s /bin/sh -c 'exec "$@"' -- "$@"
|