Update Dockerfile

Dockerfile

@@ -1,11 +1,7 @@
-# syntax=docker/dockerfile:1
-# ^^^ ЭТО ОБЯЗАТЕЛЬНО для heredoc в Dockerfile
-
-# ============================================
-# BASE
-# ============================================
+# syntax=docker/dockerfile:1.4
 FROM python:3.11-slim
 
+# 1. Установка системных зависимостей (от имени root)
 RUN apt-get update && apt-get install -y \
     supervisor \
     curl \
@@ -13,11 +9,23 @@ RUN apt-get update && apt-get install -y \
     wget \
     && rm -rf /var/lib/apt/lists/*
 
-# ============================================
-# ZROK
-# ============================================
+# 2. Установка zrok (от имени root)
 RUN curl -sSf https://get.openziti.io/install.bash | bash -s zrok
 
+# 3. Создание non-root пользователя для Hugging Face Spaces [1]
+RUN useradd -m -u 1000 user
+
+# 4. Создание всех нужных абсолютных путей и выдача прав пользователю "user" [1]
+# Supervisor требует права на запись в /var/run и /var/log
+RUN mkdir -p /data/aiclient2api /data/kirogo /data/bifrost /etc/supervisor/conf.d /var/log/supervisor /var/run/supervisor \
+    && chown -R user:user /data /etc/supervisor /var/log/supervisor /var/run/supervisor
+
+# 5. Переключение на non-root пользователя [1], [2]
+USER user
+
+# 6. Установка рабочей директории (абсолютный путь)
+WORKDIR /data
+
 # ============================================
 # SECTION: AIClient2API
 # ============================================
@@ -27,9 +35,7 @@ RUN git clone https://github.com/user/AIClient2API.git /data/aiclient2api \
 # ============================================
 # SECTION: Kiro-go
 # ============================================
-RUN mkdir -p /data/kirogo \
-    && wget -O /data/kirogo/kiro-go \
-       https://github.com/user/kiro-go/releases/download/v1.0/kiro-go-linux-amd64 \
+RUN wget -O /data/kirogo/kiro-go https://github.com/user/kiro-go/releases/download/v1.0/kiro-go-linux-amd64 \
     && chmod +x /data/kirogo/kiro-go
 
 # ============================================
@@ -39,15 +45,16 @@ RUN git clone https://github.com/user/bifrost.git /data/bifrost \
     && pip install --no-cache-dir -r /data/bifrost/requirements.txt
 
 # ============================================
-# CONFIGS — всё inline, никаких внешних файлов
+# CONFIGS (Heredoc синтаксис) [14]
+# ВАЖНО: используем --chown=user:user чтобы у процесса был доступ к конфигурации
 # ============================================
 
-# supervisord.conf прямо в Dockerfile
-COPY <<EOF /etc/supervisor/conf.d/supervisord.conf
+COPY --chown=user:user <<EOF /etc/supervisor/conf.d/supervisord.conf
 [supervisord]
 nodaemon=true
 logfile=/dev/stdout
 logfile_maxbytes=0
+pidfile=/var/run/supervisor/supervisord.pid
 
 [program:bifrost]
 command=python /data/bifrost/main.py --port 7860
@@ -80,7 +87,8 @@ stderr_logfile=/dev/stderr
 stderr_logfile_maxbytes=0
 
 [program:zrok]
-command=zrok share reserved %(ENV_ZROK_SHARE_NAME)s
+# Добавлен флаг --headless для работы в контейнере [9]
+command=zrok share reserved %(ENV_ZROK_SHARE_NAME)s --headless
 autostart=true
 autorestart=true
 stdout_logfile=/dev/stdout
@@ -89,17 +97,19 @@ stderr_logfile=/dev/stderr
 stderr_logfile_maxbytes=0
 EOF
 
-# startup скрипт тоже inline
-COPY <<'EOF' /data/start.sh
+# Скрипт запуска
+COPY --chown=user:user <<'EOF' /data/start.sh
 #!/bin/bash
 if [ -n "$ZROK_TOKEN" ]; then
-    zrok enable $ZROK_TOKEN 2>/dev/null || true
+    zrok enable $ZROK_TOKEN --headless 2>/dev/null || true
 fi
 exec /usr/bin/supervisord -c /etc/supervisor/conf.d/supervisord.conf
 EOF
 
 RUN chmod +x /data/start.sh
 
+# Наружу выставляем только порт 7860 для основного UI
 EXPOSE 7860
 
+# Запуск по абсолютному пути
 CMD ["/data/start.sh"]