robbertbos/waggle
robbertbos/waggle
1
0
Fork 0
Code Issues 6 Pull requests 1 Releases 8 Packages 2 Activity Actions 1

Harden container: mount data volume outside /app and make /app read-only #143

New issue
Open
opened 2026-07-20 21:31:27 +00:00 by robbertbos · 0 comments
robbertbos commented 2026-07-20 21:31:27 +00:00
Owner
Copy link

Idee

De backend-container schrijft runtime-data (geparkeerde bijlagen; in dev ook de SQLite-db) nu onder /app/data (data_dir="./data" + WORKDIR /app). Zolang de schrijfbare datamap ín /app zit, kan /app niet read-only gemount worden.

Voorstel: mount het persistente volume op een pad buiten /app (bijv. /data) via WAGGLE_DATA_DIR=/data, en maak de /app-filesystemlaag read-only/immutable. Dat is een gangbare container-hardening (readOnlyRootFilesystem / read-only /app) en voorkomt bovendien een toekomstige botsing als het image ooit zelf iets onder /app/data zou shippen.

Werk

  • PVC-mountpad naar /data (of /var/lib/waggle), WAGGLE_DATA_DIR zetten. De code ondersteunt dit al; de SQLite-db volgt sinds recent data_dir.
  • securityContext: readOnlyRootFilesystem: true op de backend-container; fsGroup/ownership zo dat uid 10001 (waggle) op het volume kan schrijven (een verse mount overschaduwt de image-chown).
  • Nagaan of er nog andere schrijfpaden binnen /app zijn (bijv. tmp/caches) die dan een emptyDir nodig hebben.
  • containers/backend/Containerfile + docs/deployment.md bijwerken (mountpad /app/data -> extern pad).

Context

Komt uit de review-discussie rond de kaartloze-outbox-bijlagen (PR #140, "nieuw bericht plannen" fase 2a).

## Idee De backend-container schrijft runtime-data (geparkeerde bijlagen; in dev ook de SQLite-db) nu onder `/app/data` (`data_dir="./data"` + `WORKDIR /app`). Zolang de schrijfbare datamap ín `/app` zit, kan `/app` niet read-only gemount worden. Voorstel: mount het persistente volume op een pad **buiten** `/app` (bijv. `/data`) via `WAGGLE_DATA_DIR=/data`, en maak de `/app`-filesystemlaag read-only/immutable. Dat is een gangbare container-hardening (`readOnlyRootFilesystem` / read-only `/app`) en voorkomt bovendien een toekomstige botsing als het image ooit zelf iets onder `/app/data` zou shippen. ## Werk - [ ] PVC-mountpad naar `/data` (of `/var/lib/waggle`), `WAGGLE_DATA_DIR` zetten. De code ondersteunt dit al; de SQLite-db volgt sinds recent `data_dir`. - [ ] `securityContext`: `readOnlyRootFilesystem: true` op de backend-container; `fsGroup`/ownership zo dat uid **10001** (`waggle`) op het volume kan schrijven (een verse mount overschaduwt de image-`chown`). - [ ] Nagaan of er nog andere schrijfpaden binnen `/app` zijn (bijv. tmp/caches) die dan een `emptyDir` nodig hebben. - [ ] `containers/backend/Containerfile` + `docs/deployment.md` bijwerken (mountpad `/app/data` -> extern pad). ## Context Komt uit de review-discussie rond de kaartloze-outbox-bijlagen (PR #140, "nieuw bericht plannen" fase 2a).
Sign in to join this conversation.
No Branch/Tag specified
Branches Tags
main
fase-2b-kabel-v2
dev-fake-mm-file-fixtures
v2026.7.21
v2026.7.20
v2026.6.30
v2026.6.28
v2026.6.16
v2026.5.18
v2026.5.17
v2026.5.12
Labels
Clear labels
No items
No labels
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference
robbertbos/waggle#143
No description provided.