till
2c2ef9d458
GHSA-26w7-cxv4-gfx2 (kritisch, RCE beim Verarbeiten von AVIF) hat für Astro 5 keinen Fix. Also hoch auf Astro 7.3.2, @astrojs/node 11, @astrojs/react 6 und sharp 0.35. `npm audit`: 0 Funde. Zwei Stellen mussten mit: - `experimental.csp` heißt seit Astro 7 `security.csp`. Das ist keine kosmetische Umbenennung: ein `csp` auf oberster Ebene wird ohne Warnung geschluckt und die Seite läuft ganz ohne Policy. Gemessen — Header vorher weg, nach der Korrektur wieder da, mit denselben Skript-Hashes wie unter Astro 5. - sharp exportiert den Typ `Sharp` jetzt benannt statt als Namensraum. Dazu das Image: node 20 → 22 (Astro 7 verlangt mehr als 20.19, die Tests brauchen 22.6 für --experimental-strip-types), und `npm ci` mit Lockfile statt `npm install` — sonst baut das Image nicht die Versionen, die getestet wurden. Geprüft gegen echtes Postgres: alle Seiten 200, Upload durch sharp 0.35, Bogen-PDF auf 210,00 × 297,00 mm gemessen, Einzelbild 35 × 45 mm bei 300 dpi = 413 × 531 px mit korrekter dpi-Angabe. 124 Tests grün.
25 lines
817 B
Docker
25 lines
817 B
Docker
FROM node:22-bookworm-slim
|
|
|
|
WORKDIR /app
|
|
ENV NODE_ENV=production PORT=4321 HOST=0.0.0.0
|
|
|
|
# Build-Tools für native Module (argon2). sharp bringt libvips prebuilt mit.
|
|
RUN apt-get update && apt-get install -y --no-install-recommends \
|
|
python3 make g++ ca-certificates \
|
|
&& rm -rf /var/lib/apt/lists/*
|
|
|
|
# Lockfile zuerst: `npm ci` baut exakt die Versionen, die getestet wurden —
|
|
# nicht das, wozu die ^-Bereiche heute zufällig auflösen.
|
|
COPY package.json package-lock.json ./
|
|
RUN npm ci --no-audit --no-fund
|
|
|
|
COPY . .
|
|
RUN npm run build
|
|
|
|
EXPOSE 4321
|
|
|
|
HEALTHCHECK --interval=30s --timeout=5s --start-period=40s --retries=3 \
|
|
CMD node -e "fetch('http://127.0.0.1:'+(process.env.PORT||4321)+'/api/health').then(r=>process.exit(r.ok?0:1)).catch(()=>process.exit(1))"
|
|
|
|
CMD ["node", "./dist/server/entry.mjs"]
|