Cách viết Dockerfile bảo mật: Chạy non-root user, multi-stage và quét vulnerability với Trivy

# 1. Chọn base image cụ thể và đáng tin cậy (tránh dùng tag :latest)
FROM node:20.18-alpine3.20 AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

# Stage Runtime
FROM node:20.18-alpine3.20 AS runner
WORKDIR /app

# 2. Cài đặt các bản vá bảo mật mới nhất của OS
RUN apk update && apk upgrade && rm -rf /var/cache/apk/*

# 3. Tạo user và group riêng biệt không có quyền root
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

# 4. Phân quyền thư mục chính xác
COPY --from=builder --chown=appuser:appgroup /app/dist ./dist
COPY --from=builder --chown=appuser:appgroup /app/node_modules ./node_modules

# 5. CHUYỂN SANG USER BẢO MẬT TRƯỚC KHI CHẠY!
USER appuser

EXPOSE 3000
CMD ["node", "dist/main.js"]

# Quét image và chặn build nếu có lỗ hổng nghiêm trọng (CRITICAL)
trivy image --severity HIGH,CRITICAL --exit-code 1 your-app:latest