SiYuan Docker部署安全扫描工具集成指南

在当今数字化时代，个人知识管理软件的安全性至关重要。SiYuan作为一款注重隐私、自托管且完全开源的个人知识管理软件，采用Docker部署能带来诸多便利，但同时也需要关注安全问题。本文将详细介绍如何在SiYuan的Docker部署中集成安全扫描工具，为你的知识管理保驾护航。## Dockerfile基础分析SiYuan的Dockerfile是部署的基础，我们首先来对其进行分析。该Docke...

薛靓璐Gifford

1054人浏览 · 2025-10-02 03:11:15

薛靓璐Gifford · 2025-10-02 03:11:15 发布

SiYuan Docker部署安全扫描工具集成指南

【免费下载链接】siyuan A privacy-first, self-hosted, fully open source personal knowledge management software, written in typescript and golang. 项目地址: https://gitcode.com/GitHub_Trending/si/siyuan

在当今数字化时代，个人知识管理软件的安全性至关重要。SiYuan作为一款注重隐私、自托管且完全开源的个人知识管理软件，采用Docker部署能带来诸多便利，但同时也需要关注安全问题。本文将详细介绍如何在SiYuan的Docker部署中集成安全扫描工具，为你的知识管理保驾护航。

Dockerfile基础分析

SiYuan的Dockerfile是部署的基础，我们首先来对其进行分析。该Dockerfile采用多阶段构建，从构建Node环境到Go环境，再到最终的Alpine基础镜像，每一步都影响着部署的安全性。

以下是Dockerfile的部分关键内容：

FROM node:21 AS NODE_BUILD

WORKDIR /go/src/github.com/siyuan-note/siyuan/
ADD . /go/src/github.com/siyuan-note/siyuan/
RUN apt-get update && \
    apt-get install -y jq
RUN cd app && \
packageManager=$(jq -r '.packageManager' package.json) && \
if [ -n "$packageManager" ]; then \
    npm install -g $packageManager; \
else \
    echo "No packageManager field found in package.json"; \
    npm install -g pnpm; \
fi && \
pnpm install --registry=http://registry.npmjs.org/ --silent && \
pnpm run build
...
FROM alpine:latest
LABEL maintainer="Liang Ding<845765@qq.com>"

WORKDIR /opt/siyuan/
COPY --from=GO_BUILD /opt/siyuan/ /opt/siyuan/

RUN apk add --no-cache ca-certificates tzdata su-exec && \
    chmod +x /opt/siyuan/entrypoint.sh

ENV TZ=Asia/Shanghai
ENV HOME=/home/siyuan
ENV RUN_IN_CONTAINER=true
EXPOSE 6806

ENTRYPOINT ["/opt/siyuan/entrypoint.sh"]
CMD ["/opt/siyuan/kernel"]

通过分析Dockerfile，我们可以了解到SiYuan的构建和运行环境依赖，这对于后续集成安全扫描工具至关重要。

安全扫描工具选择

在Docker部署中，常见的安全扫描工具包括Clair、Trivy、Aqua Security等。考虑到易用性和对Alpine镜像的支持，我们选择Trivy作为本次集成的安全扫描工具。Trivy是一款简单而全面的容器漏洞扫描工具，能够检测操作系统包和应用程序依赖中的漏洞。

集成Trivy到Docker构建流程

修改Dockerfile添加Trivy扫描阶段

我们需要在Dockerfile的构建过程中添加Trivy扫描阶段，对构建出的镜像进行安全扫描。以下是修改后的Dockerfile片段：

...
FROM alpine:latest
LABEL maintainer="Liang Ding<845765@qq.com>"

# 添加Trivy扫描阶段
FROM aquasec/trivy AS TRIVY_SCANNER
COPY --from=GO_BUILD /opt/siyuan/ /opt/siyuan/
RUN trivy fs --no-progress --exit-code 1 --severity HIGH,CRITICAL /opt/siyuan/

WORKDIR /opt/siyuan/
COPY --from=GO_BUILD /opt/siyuan/ /opt/siyuan/

RUN apk add --no-cache ca-certificates tzdata su-exec && \
    chmod +x /opt/siyuan/entrypoint.sh
...

构建并运行扫描

完成Dockerfile的修改后，我们可以使用以下命令构建镜像并运行安全扫描：

docker build -t siyuan-secure .
docker run --rm siyuan-secure trivy image --severity HIGH,CRITICAL siyuan-secure

扫描结果分析与处理

扫描结果示例

Trivy扫描完成后，会输出类似以下的结果：

2023-10-02T02:45:25+00:00       INFO    Vulnerability scanning is enabled
2023-10-02T02:45:25+00:00       INFO    Secret scanning is enabled
2023-10-02T02:45:25+00:00       INFO    If your scanning is slow, please try '--security-checks vuln' to disable secret scanning
2023-10-02T02:45:25+00:00       INFO    Please see also https://aquasecurity.github.io/trivy/v0.45/docs/secret/scanning/#recommendation for faster secret detection
2023-10-02T02:45:27+00:00       INFO    Detected OS: alpine
2023-10-02T02:45:27+00:00       INFO    Detecting Alpine vulnerabilities...
2023-10-02T02:45:27+00:00       INFO    Number of language-specific files: 1
2023-10-02T02:45:27+00:00       INFO    Detecting node-pkg vulnerabilities...

siyuan-secure (alpine 3.18.3)
=============================
Total: 0 (HIGH: 0, CRITICAL: 0)

node-pkg (package.json)
=======================
Total: 0 (HIGH: 0, CRITICAL: 0)

处理高风险漏洞

如果扫描结果中出现高风险（HIGH）或严重（CRITICAL）漏洞，我们需要及时处理。可以通过更新依赖包、升级基础镜像版本等方式来修复漏洞。例如，如果发现Alpine镜像存在漏洞，可以将Dockerfile中的alpine:latest更新为最新的安全版本。

自动化扫描集成

为了确保每次构建都能进行安全扫描，我们可以将Trivy扫描集成到CI/CD流程中。例如，在GitHub Actions中添加以下步骤：

- name: Run Trivy vulnerability scanner for Docker image
  uses: aquasecurity/trivy-action@master
  with:
    image-ref: 'siyuan-secure'
    format: 'table'
    exit-code: '1'
    ignore-unfixed: true
    severity: 'CRITICAL,HIGH'

这样，每次提交代码或构建镜像时，都会自动运行Trivy扫描，如果发现高风险漏洞，构建将失败，从而确保只有安全的镜像才能被部署。