# 실습 디렉토리 준비
mkdir -p /tmp/docker/part3/exam_3 && cd /tmp/docker/part3/exam_3

# non-root 사용자 컨테이너 Dockerfile 생성
cat > Dockerfile << 'EOF'
FROM node:18-alpine
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
WORKDIR /app
COPY --chown=appuser:appgroup . .
USER appuser
EXPOSE 3000
CMD ["node", "server.js"]
EOF

mkdir -p ~/security-lab
cd ~/security-lab

# root 컨테이너: 호스트 파일 접근 가능성 확인
echo "=== root 컨테이너 실행 사용자 ==="
docker run --rm alpine id

# bind mount가 있을 때 root 컨테이너의 위험성
mkdir -p /tmp/test-dir
echo "sensitive data" > /tmp/test-dir/secret.txt
chmod 700 /tmp/test-dir

echo "=== root 컨테이너: 700 권한 디렉토리 접근 가능 ==="
docker run --rm -v /tmp/test-dir:/data alpine cat /data/secret.txt
# root이므로 접근 가능

echo "=== non-root 컨테이너: 권한 거부 ==="
docker run --rm -v /tmp/test-dir:/data --user 1001:1001 alpine cat /data/secret.txt
# 오류: Permission denied

# 실행 사용자 확인
docker run --rm --user 1001:1001 alpine id
# uid=1001 gid=1001

cd ~/security-lab
mkdir -p nodeapp && cd nodeapp

cat > package.json << 'EOF'
{
  "name": "secure-node",
  "version": "1.0.0",
  "dependencies": { "express": "^4.18.2" }
}
EOF

mkdir -p src
cat > src/index.js << 'EOF'
const express = require('express');
const os = require('os');
const app = express();

app.get('/', (req, res) => {
  res.json({
    message: 'Secure Node.js container',
    uid: process.getuid(),
    gid: process.getgid(),
    user: process.env.USER || 'unknown',
    hostname: os.hostname()
  });
});

app.get('/health', (req, res) => res.status(200).send('ok'));

app.listen(3000, () => {
  console.log(`Running as UID ${process.getuid()}, listening on :3000`);
});
EOF

cat > Dockerfile << 'EOF'
FROM node:20-alpine

WORKDIR /app

# root 권한이 필요한 작업 먼저 수행
RUN addgroup -S -g 1001 nodejs && \
    adduser  -S -u 1001 -G nodejs nodeuser

COPY --chown=nodeuser:nodejs package.json ./
RUN npm install --omit=dev

COPY --chown=nodeuser:nodejs src/ ./src/

# 최종적으로 non-root 사용자로 전환
USER nodeuser

EXPOSE 3000

HEALTHCHECK --interval=30s --timeout=5s --start-period=10s --retries=3 \
  CMD wget -qO- http://localhost:3000/health || exit 1

CMD ["node", "src/index.js"]
EOF

docker build -t secure-node:latest .

# 실행 후 사용자 확인
docker run -d --name secure-test -p 3000:3000 secure-node:latest
sleep 2
curl -s http://localhost:3000/ | python3 -m json.tool
docker stop secure-test && docker rm secure-test

cd ~/security-lab

echo "=== 기본 capabilities 확인 ==="
docker run --rm alpine sh -c \
  "apk add -q libcap 2>/dev/null && capsh --print 2>/dev/null | grep Current || cat /proc/1/status | grep Cap"

echo ""
echo "=== --cap-drop ALL 적용 후 capabilities ==="
docker run --rm --cap-drop ALL alpine sh -c \
  "apk add -q libcap 2>/dev/null && capsh --print 2>/dev/null | grep Current || cat /proc/1/status | grep Cap"

echo ""
echo "=== ping 실행 — NET_RAW capability 필요 ==="
docker run --rm --cap-drop ALL alpine ping -c 1 8.8.8.8 2>&1 || echo "ping 실패 (NET_RAW 없음)"

echo ""
echo "=== NET_RAW 추가 후 ping ==="
docker run --rm --cap-drop ALL --cap-add NET_RAW alpine ping -c 1 8.8.8.8

# 실제 서비스에 적용: secure-node에 최소 capabilities 적용
docker run -d --name cap-test \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  -p 3000:3000 \
  secure-node:latest

sleep 2
curl -s http://localhost:3000/health
docker stop cap-test && docker rm cap-test

cd ~/security-lab

echo "=== 읽기 전용 없이 실행 — 파일 쓰기 가능 ==="
docker run --rm alpine sh -c "echo 'wrote file' > /tmp/test && cat /tmp/test"

echo ""
echo "=== --read-only 적용 — 파일 쓰기 차단 ==="
docker run --rm --read-only alpine sh -c \
  "echo 'wrote file' > /tmp/test 2>&1 || echo 'BLOCKED: Read-only filesystem'"

echo ""
echo "=== --read-only + --tmpfs /tmp — 임시 쓰기만 허용 ==="
docker run --rm \
  --read-only \
  --tmpfs /tmp:rw,size=32m,noexec,nosuid \
  alpine sh -c "echo 'temp data' > /tmp/test && cat /tmp/test && echo 'tmpfs write OK'"

echo ""
echo "=== noexec 확인: tmpfs에서 실행 파일 실행 불가 ==="
docker run --rm \
  --read-only \
  --tmpfs /tmp:rw,size=32m,noexec,nosuid \
  alpine sh -c "
    cp /bin/ls /tmp/ls_copy
    /tmp/ls_copy /tmp 2>&1 || echo 'BLOCKED: noexec flag prevents execution'
  "

# secure-node에 최종 보안 설정 모두 적용
docker run -d --name hardened-app \
  --read-only \
  --tmpfs /tmp:rw,size=32m,noexec,nosuid \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  -p 3000:3000 \
  secure-node:latest

sleep 2
echo "=== 강화된 컨테이너 응답 확인 ==="
curl -s http://localhost:3000/
docker stop hardened-app && docker rm hardened-app

# Docker Bench Security 실행
docker run --rm -it \
  --net host \
  --pid host \
  --userns host \
  --cap-add audit_control \
  -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
  -v /etc:/etc:ro \
  -v /lib/systemd/system:/lib/systemd/system:ro \
  -v /usr/bin/containerd:/usr/bin/containerd:ro \
  -v /usr/bin/runc:/usr/bin/runc:ro \
  -v /usr/lib/systemd:/usr/lib/systemd:ro \
  -v /var/lib:/var/lib:ro \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  --label docker_bench_security \
  docker/docker-bench-security 2>/dev/null | grep -E '^\[WARN\]|^\[PASS\]|^\[INFO\] [0-9]' | head -40

# root로 실행 중인 컨테이너 목록 확인
echo ""
echo "=== root로 실행 중인 컨테이너 확인 ==="
docker ps -q | xargs -I{} docker inspect {} \
  --format='컨테이너: {{.Name}} | 사용자: {{if .Config.User}}{{.Config.User}}{{else}}root (미설정){{end}}' \
  2>/dev/null