実行ユーザーの既定を uid 10001 にする

これまでは node イメージが持つ node ユーザー(uid 1000)で動かしていた。
1000 はホストの1人目のユーザーに払い出される番号なので、万一コンテナから
抜け出されたときにそのユーザーのファイルを触れる立場になる。10001 なら
ホストの誰でもなく、chown で渡した data/ しか触れない。

- イメージに uid/gid 10001 の app ユーザーを作り、USER をそれに変える
- HOME=/home/app を 1777 で用意する。.env で別の uid を指定されたときに
  /etc/passwd に載らないユーザーになり、HOME が / に落ちて書けなくなる
  (pihole-monitor で踏んだ)
- data/ はホストから見て「知らないユーザー」の持ち物になる。読む(バック
  アップにコピーする)のはできるが、書き戻しには sudo が要る —— 手元で
  直接触りたいホストは .env の TRAVEL_LOG_UID / TRAVEL_LOG_GID を使う

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: claude

.env.example

@@ -4,7 +4,8 @@
 # このファイルをコピーして .env.local を作成し、値を設定してください。
 
 # データの置き場(data/)に書き込むユーザー。docker-compose.yml の app がこの
-# ユーザーで動く。`id -u` / `id -g` が 1000 以外のホストでだけ設定すればよい
+# ユーザーで動く(既定 10001 = ホストに実在しない番号)。data/ をホストから
+# 直接編集・書き戻ししたいときだけ `id -u` / `id -g` を設定する
 # (合っていないと写真の保存に失敗する)。
 #TRAVEL_LOG_UID=1000
 #TRAVEL_LOG_GID=1000

Dockerfile

@@ -38,14 +38,23 @@ COPY --from=builder /app/db/migrations ./db/migrations
 COPY --from=builder /app/scripts/migrate.mjs ./scripts/migrate.mjs
 # 写真とエクスポートの置き場。実運用ではホストのディレクトリを bind マウントするが、
 # マウントせずに動かしたときも非 root で書けるように用意しておく
-RUN mkdir -p /app/photos /app/exports && chown -R node:node /app/photos /app/exports /app/.next
+# 実行ユーザーは **ホストに実在しない uid 10001**。node イメージが持つ node ユーザーは
+# uid 1000 = ホストの1人目のユーザーの番号で、それで動かすと万一コンテナから
+# 抜け出されたときにそのユーザーのファイルを触れる立場になる。10001 ならホストの
+# 誰でもなく、chown で渡した data/ しか触れない
+RUN addgroup -g 10001 app && adduser -S -D -G app -u 10001 -h /home/app app \
+    && mkdir -p /app/photos /app/exports \
+    && chown -R 10001:10001 /app/photos /app/exports /app/.next /home/app \
+    && chmod 1777 /home/app
 # 待ち受けポート。standaloneのserver.jsはPORT環境変数を読む(next dev/start側は
 # package.jsonのscriptsで-p 7040を指定していて、ここと両方を揃えて変えること)
 ENV PORT=7040
 EXPOSE 7040
-# root で動かさない。node:24-alpine が持つ node ユーザーは uid/gid とも 1000 で、
-# compose の user: の既定 (1000:1000) と一致する
-USER node
+# root で動かさない。compose の user: の既定 (10001:10001) と一致する。
+# HOME を 1777 で用意してあるのは、`.env` で別の uid を指定されたときに
+# /etc/passwd に載らないユーザーになり、HOME が / に落ちて書けなくなるため
+ENV HOME=/home/app
+USER 10001:10001
 # マイグレーションが失敗したら待ち受けに進まない(古いスキーマのままアプリが動くのを
 # 防ぐ)。exec で server.js を PID 1 にして、シグナルがそのまま届くようにする
 CMD ["sh", "-c", "node scripts/migrate.mjs && exec node server.js"]

README.md

@@ -170,9 +170,12 @@ docker compose pull && docker compose up -d
   `photos/`(添付写真)・`exports/`(エクスポートのZIP)を`init`サービスが起動時に作る。
   **バックアップは`data/`をコピーすればよい**(停止してからコピーすること)。
   standaloneでもホストに用意するのは親ディレクトリ1つで、YAML冒頭の`x-data-dir`に書く
-- **`app`は非rootで動く**。`data/`に書かれるファイルはホストのユーザー所有になり、
-  既定は`1000:1000`。`id -u`が1000以外のホストでは`.env`に`TRAVEL_LOG_UID`/`TRAVEL_LOG_GID`を
-  設定する(standaloneはYAML冒頭の`x-run-as`)。所有者合わせは起動前に`init`が
+- **`app`は非rootで動く**。既定は`10001:10001`で、**ホストに実在しない番号**にしてある
+  (万一コンテナから抜け出されても、ホストのユーザーのファイルには届かない)。
+  そのぶん`data/`はホストから見て「知らないユーザー」の持ち物になるので、
+  **バックアップから書き戻すときやホストで直接編集したいときは**`.env`に
+  `TRAVEL_LOG_UID`/`TRAVEL_LOG_GID`で`id -u`/`id -g`を設定する
+  (standaloneはYAML冒頭の`x-run-as`)。所有者合わせは起動前に`init`が
   自動でやるので、`chown`を手で打つ必要はない
 - **置き場を`data/`にまとめる前から動かしているホストは、更新時に1回だけ移すこと。**
   `docker compose down`のあと:

docker-compose.standalone.example.yml

@@ -44,7 +44,9 @@ x-data-volume: &data-volume "/path/to/travel-log/data:/data"
 # 上のディレクトリをホスト側で読み書きするユーザーの `id -u`:`id -g`。
 # app はこのユーザーで動くので、ここが合っていないと写真の保存に失敗する。
 # db は関係ない(postgresのエントリポイントが自分で所有者を揃える)
-x-run-as: &run-as "1000:1000"
+# **イメージ内の既定は 10001:10001**(ホストに実在しない番号)。data/ をホストから
+# 直接編集・書き戻ししたいときだけ `id -u`:`id -g` に書き換える
+x-run-as: &run-as "10001:10001"
 
 # ---- ここだけ編集: アプリの設定(.env の代わり) ----
 # セッションCookieの署名鍵(必須)。32バイト程度のランダム文字列を入れる

docker-compose.yml

@@ -15,7 +15,7 @@ services:
       - sh
       - -c
       - mkdir -p /data/db /data/photos /data/exports && chown -R "$$0" /data/photos /data/exports
-      - ${TRAVEL_LOG_UID:-1000}:${TRAVEL_LOG_GID:-1000}
+      - ${TRAVEL_LOG_UID:-10001}:${TRAVEL_LOG_GID:-10001}
     restart: "no"
 
   db:
@@ -80,9 +80,11 @@ services:
       # db/も見えるが、postgresがPGDATAを0700で作るのでappのユーザーからは読めない
       - ./data:/data
     # data/に書かれるファイルをホストのユーザー所有にする。イメージの既定は
-    # node(uid/gidとも1000)で、ホスト側の所有者と合わないとbindマウントに書けない。
-    # id -u が1000以外のホストでは.envのTRAVEL_LOG_UID/GIDで合わせる
-    user: "${TRAVEL_LOG_UID:-1000}:${TRAVEL_LOG_GID:-1000}"
+    # 実行ユーザー。既定は 10001 = ホストに実在しない番号(抜け出されてもホストの
+    # ユーザーのファイルに届かない)。そのぶん data/ はホストから見て「知らない
+    # ユーザー」の持ち物になるので、手元で直接編集・書き戻ししたいホストでは
+    # .env の TRAVEL_LOG_UID/GID に `id -u`/`id -g` を入れる
+    user: "${TRAVEL_LOG_UID:-10001}:${TRAVEL_LOG_GID:-10001}"
     ports:
       - "7040:7040"
     restart: unless-stopped