Docker: PHP Composer и multi-stage билды Docker образов

Задача — подготовить Docker образ с PHP Composer.

Ниже рассмотрим сначала сам Composer (от PHP далёк, и с Composer дела раньше не имел, хотя сам PHP потрогать довелось), потом — пример сборки Docker контейнера и его использование под разными пользователями.

Результат можно посмотреть в Github.

PHP Composer

Composer предназначен для установки общих библиотек при создании PHP-проекта. Как ближайший аналог из «мира» NodeJS — npm, который выполняет установку различных зависимостей.

Кроме Composer для PHP имеется PEAR, но он сейчас практически не используется (хотя Composer поддерживает установку пакетов из PEAR).

Как и для npm — у Composer имеется файл, в котором перечисляются необходимые для установки зависимости и их версии, и репозитории.

Для Composer дефолтный репозиторий — https://packagist.org, кроме него в роли репозитория можно использовать любой VCS типа Github.

Установка Composer

Сначала — установим Composer локально.

На Linux выполняем:

Проверяем тип файла:

Проверяем его работу:

Переносим в /usr/loca/bin:

Создадим тестовый проект:

Например у нас есть зависимость от PHP фрейморка Slim — в каталоге PHP проекта создадим файл composer.json, в котором описываем зависимость:

{
    "require": {
        "slim/slim": "2.*"
    }
}

Для npm дефолтным каталог является ~/node_modules:

А для composer — vendor в каталоге, из которого вызвается composer.

Запускаем установку:

Проверяем каталог vendor:

В случае, если установку надо выполнить от другого пользователя, что бы установленные файлы имели другой UID/GID — используем, например, sudo:

Проверяем:

Docker multi-stage билд

Следующей задачей будет собрать Docker образ, который будет включать в себя PHP и Composer.

Тут можно использовать multi-stage билды, которые появились в Docker в версии 17.05.

Идея заключается в том, что мы запускаем контейнер с Composer, затем — контейнер с желаемой версией PHP, копируем из контейнера с Composer его исполняемый phar-файл, и создаём новый контейнер, из которого собираем свой образ.

Dockerfile будет выглядеть так:

FROM composer:latest AS composer
FROM php:7.2.3
COPY --from=composer /usr/bin/composer /usr/bin/composer
RUN composer --version && php --v

В первой строке, в инструкции FROM, используем оператор AS, что бы задать имя запускаемому во время билда контейнеру, а затем — ссылаемся на это имя в COPY, что бы из него скопировать необходимый файл, в данном случае — /usr/bin/composer.

Собираем образ:

Проверяем:

ОК — всё работает.

Репозитории в composer.json

Попробуем установить библиотеку geoip2, используя собранный образ.

Для этого потребуется указать репозиторий, из которого библиотеку можно скачать — используем repositories, обновляем composer.json:

{
    "require": {
        "geoip2/geoip2": "~2.0"
    },  
    "repositories": [{
        "type": "vcs",
        "url": "git@github.com:antimattr/GoogleBundle.git"}
    ]
}

Обновим Dockerfile — добавим WORKDIR для указания каталога, в котором Composer будет искать composer.json:

FROM composer:latest AS composer
FROM php:7.2.3
COPY --from=composer /usr/bin/composer /usr/bin/composer
WORKDIR /app

Убираем ENTRYPOINT — composer будем вызывать явно, при запуске контейнера.

Собираем v2:

Проверяем:

ОК, работает.

Удаляем composer.lock, который остался от установки Slim в начале:

И запускаем контейнер, передавая composer install:

Отлично! Всё работает. Вот только git-а нет 🙂

Т.к. просто скопировать исполняемый файл git — не вариант из-за зависимостей от системных библиотек, добавим его установку.

Обновляем Dockerfile:

FROM composer:latest AS composer
FROM php:7.2.3
COPY --from=composer /usr/bin/composer /usr/bin/composer
RUN apt update && apt install -y git
WORKDIR /app

Собираем образ:

И запускаем composer install:

ОК, теперь всё работает.

Composer user

Последняя проблема, которую осталось решить — это пользователь:

vendor и composer.lock создаются от рута, т.к. в самом контейнере используется пользователь root, если не указано другое.

Проверим — добавляем RUN whoami в Dockerfile:

FROM composer:latest AS composer
FROM php:7.2.3
COPY --from=composer /usr/bin/composer /usr/bin/composer
RUN apt update && apt install -y git
RUN whoami
WORKDIR /app

Собираем:

А мы хотим, что бы каталог vendor на хосте оставался за пользователем phpcomposeruser, которого мы создали в начале.

Тут есть два варианта.

Dockerfile USER

Первый — добавить пользователя phpcomposeruser во время сборки контейнера, и использовать инструкцию USER.

Обновляем Dockerfile:

FROM composer:latest AS composer
FROM php:7.2.3
COPY --from=composer /usr/bin/composer /usr/bin/composer
RUN apt update && apt install -y git
RUN adduser phpcomposeruser
USER phpcomposeruser
RUN whoami
RUN id
WORKDIR /app

Собираем новый контейнер:

Удаляем каталог vendor и composer.lock:

Собираем проект, используя версию 3.2:

Проверяем файлы:

Упс! Откуда взялся setevoy, если мы указывали phpcomposeruser?

Вернёмся к логу сборки образа:

…
Step 8/9 : RUN id
—> Running in 288eab068311
uid=1000(phpcomposeruser) gid=1000(phpcomposeruser) groups=1000(phpcomposeruser)
…

А теперь проверим — кому принадлежит UID 1000 на хосте, с которого мы билдим:

Отлично… Пользователь с UID 1000 в образе — это phpcomposeruser (первый созданный в системе пользователь, после рута), а на хосте — это пользователь setevoy.

Соответственно, на хосте, с которого запускаем билд, у пользователя phpcomposeruser == UID 1001:

И особых прав на каталог vendor у него нет:

docker run --user

Другой вариант решить проблему — запускать контейнер от определённого пользователя, используя --user.

Убираем USER из Dockefile, возвращаем его к виду:

FROM composer:latest AS composer
FROM php:7.2.3
COPY --from=composer /usr/bin/composer /usr/bin/composer
RUN apt update && apt install -y git
WORKDIR /app

Собираем версию 3.3:

Удаляем каталог и файл:

И пробуем собрать проект, передав --user phpcomposeruser:

Снова «упс»? 🙂

Логично — мы ведь не создавали пользователя phpcomposeruser в образе php-composer:3.3:

Поэтому как вариант решения — мы можем передать в контейнер UID и GID вместо имени пользователя — используем id -u (print only the effective user ID) и -g (print only the effective group ID).

Меняем владельца composer.json на phpcomposeruser, который будет владельцем проекта:

Собираем проект:

Проверяем:

Готово.