Lab : une chaîne d'images de confiance

flask==3.1.3
gunicorn==26.2.0
psycopg[c]==3.3.6

# syntax=docker/dockerfile:1

# ---- Étape « construction » : compilateur, en-têtes, pip -------------------
FROM python:3.14 AS construction
ENV PIP_DISABLE_PIP_VERSION_CHECK=1 \
    PIP_ROOT_USER_ACTION=ignore
# Un environnement virtuel sans pip : c'est le pip de l'image qui l'alimente.
RUN python -m venv --without-pip /opt/venv
COPY requirements.txt .
# Avec SOURCE_DATE_EPOCH, pip compile des .pyc déterministes (validés par empreinte, pas par date)
ARG SOURCE_DATE_EPOCH
# Sans informations de débogage, le chemin temporaire de compilation n'est plus inscrit dans les modules C
ENV CFLAGS="-g0"
RUN --mount=type=cache,target=/root/.cache/pip \
    pip --python /opt/venv/bin/python install -r requirements.txt

# ---- Étape « test » : la construction, plus les outils de test --------------
FROM construction AS test
RUN pip --python /opt/venv/bin/python install pytest==9.1.1
WORKDIR /app
COPY app.py test_app.py ./
RUN /opt/venv/bin/python -m pytest -q

# ---- Étape « execution » : l'image livrée -----------------------------------
FROM python:3.14-slim AS execution
ENV PYTHONDONTWRITEBYTECODE=1 \
    PYTHONUNBUFFERED=1 \
    PATH="/opt/venv/bin:$PATH"
RUN apt-get update \
 && apt-get upgrade -y \
 && apt-get install -y --no-install-recommends libpq5 \
 && rm -rf /var/lib/apt/lists/* \
 && python -m pip uninstall --yes --root-user-action ignore pip \
 && useradd --system --uid 10001 --no-create-home --shell /usr/sbin/nologin appli \
 && rm -f /var/log/apt/*.log /var/log/dpkg.log /var/cache/ldconfig/aux-cache
COPY --from=construction /opt/venv /opt/venv
WORKDIR /app
COPY app.py .
USER 10001
EXPOSE 8000
CMD ["gunicorn", "--bind", "0.0.0.0:8000", "--workers", "2", "--no-control-socket", "app:app"]

# Tout ce qui n'a rien à faire dans l'image
.git
.venv
__pycache__/
*.pyc
.env
Dockerfile*
.dockerignore
secrets/
compose*.yaml
verifier.sh
cosign.key
cosign.pub
verifier-chaine.sh
.github

name: Image Signalements

on:
  push:
    branches: [main]
  pull_request:

# Par défaut, le jeton du workflow ne peut que lire le dépôt.
permissions:
  contents: read

env:
  IMAGE: rg.fr-par.scw.cloud/lyneko-apps/signalements

jobs:
  image:
    runs-on: ubuntu-24.04
    permissions:
      contents: read
      id-token: write # jeton OIDC pour la signature sans clé
    steps:
      - name: Récupérer les sources
        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1

      - name: Date de référence (constructions reproductibles)
        run: echo "SOURCE_DATE_EPOCH=$(git log -1 --format=%ct)" >> "$GITHUB_ENV"

      - name: Préparer Buildx
        uses: docker/setup-buildx-action@f87e5991a6d7451dcb8d9637bfbc97413f497069 # v4.4.1

      - name: Se connecter au registre Scaleway
        if: github.event_name == 'push'
        uses: docker/login-action@dbcb813823bdd20940b903addbd779551569679f # v4.6.0
        with:
          registry: rg.fr-par.scw.cloud
          username: nologin
          password: ${{ secrets.SCW_SECRET_KEY }}

      - name: Étiquettes et annotations
        id: meta
        uses: docker/metadata-action@dc802804100637a589fabce1cb79ff13a1411302 # v6.2.0
        with:
          images: ${{ env.IMAGE }}
          tags: |
            type=sha,prefix=main-,format=short,enable={{is_default_branch}}
            type=ref,event=pr
          # Date du commit plutôt que l'heure de la construction : l'image reste reproductible.
          labels: |
            org.opencontainers.image.created={{commit_date 'YYYY-MM-DDTHH:mm:ss.SSS[Z]'}}
          annotations: |
            org.opencontainers.image.created={{commit_date 'YYYY-MM-DDTHH:mm:ss.SSS[Z]'}}

      - name: Tests (étape « test » du Dockerfile)
        uses: docker/build-push-action@c3c9e263c25d99ce0380d002d59b67737d91b0dc # v7.4.0
        with:
          context: .
          target: test
          cache-from: type=registry,ref=${{ env.IMAGE }}:cache

      - name: Construire, attester et publier
        id: construction
        uses: docker/build-push-action@c3c9e263c25d99ce0380d002d59b67737d91b0dc # v7.4.0
        with:
          context: .
          platforms: linux/amd64
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          annotations: ${{ steps.meta.outputs.annotations }}
          build-args: SOURCE_DATE_EPOCH=${{ env.SOURCE_DATE_EPOCH }}
          outputs: type=image,push=${{ github.event_name == 'push' }},rewrite-timestamp=true
          sbom: true
          provenance: mode=max
          cache-from: type=registry,ref=${{ env.IMAGE }}:cache
          cache-to: ${{ github.event_name == 'push' && format('type=registry,ref={0}:cache,mode=max', env.IMAGE) || '' }}

      - name: Analyse de vulnérabilités (bloquante)
        if: github.event_name == 'push'
        uses: aquasecurity/trivy-action@ed142fd0673e97e23eac54620cfb913e5ce36c25 # v0.36.0
        with:
          image-ref: ${{ env.IMAGE }}@${{ steps.construction.outputs.digest }}
          severity: CRITICAL,HIGH
          ignore-unfixed: true
          exit-code: "1"
          version: v0.74.0

      - name: Installer Cosign
        if: github.event_name == 'push'
        uses: sigstore/cosign-installer@6f9f17788090df1f26f669e9d70d6ae9567deba6 # v4.1.2
        with:
          cosign-release: v3.1.3

      - name: Signer l'image (sans clé, identité du workflow)
        if: github.event_name == 'push'
        env:
          EMPREINTE: ${{ steps.construction.outputs.digest }}
        run: cosign sign --yes "${IMAGE}@${EMPREINTE}"