连接世界各个角落的开发者
轩辕镜像技术博客，分享 Docker 镜像部署实战、容器化开发技巧、镜像加速与运维最佳实践，帮助开发者更高效地使用 Docker。
共 361 篇原创文章
覆盖 4 个技术分类
Gitea Actions 官方 runner 在 3.0.0 之前，工作流里的 jobs.*.container.options 会写入 Docker HostConfig。即使强制 Privileged=false，--pid=host、--ipc=host、--cap-add=ALL 以及放开 seccomp/apparmor 仍然生效，工作流作者可以进入宿主机命名空间并以 root 执行命令（CVE-2026-73802，CVSS 9.9）。请把 gitea/runner 升到 3.0.0 或更高。gitea/act_runner 已弃用。
Gitea Actions 官方 runner 在 3.0.0 之前，工作流里的 jobs.*.container.options 会写入 Docker HostConfig。即使强制 Privileged=false，--pid=host、--ipc=host、--cap-add=ALL 以及放开 seccomp/apparmor 仍然生效，工作流作者可以进入宿主机命名空间并以 root 执行命令（CVE-2026-73802，CVSS 9.9）。请把 gitea/runner 升到 3.0.0 或更高。gitea/act_runner 已弃用。
Dokku 低于 0.38.25 时，具备应用级权限的用户可写入任意 Docker 选项。这些字符串进入 DOCKER_ARGS 后，在 build、deploy、run 时被 Bash eval 展开，命令替换会以 dokku 用户在宿主机执行（CVE-2026-86002，CVSS 9.0）。请把 dokku/dokku 升到 0.38.25 或更高。
OpenClaw 是一款面向个人和内网使用者的开源自托管 AI 助手 Gateway，旨在把聊天渠道、模型供应商和浏览器控制台接到同一个 Gateway，并通过本机目录保存会话与配置。本文将介绍如何通过 Docker Compose 部署 OpenClaw，搭建自托管个人 AI 助手平台，帮助你在自己的服务器上接入模型并打开控制台，适合个人助手及内网自托管等场景。
青龙是一款面向要在自己服务器上跑脚本的人的开源定时任务管理平台，旨在把脚本、环境变量和调度放在同一套面板里，并通过浏览器完成编写、定时和查看日志。本文将介绍如何通过 Docker Compose 部署青龙，搭建私有化定时任务平台，帮助把周期性脚本留在自己的机器上，适合个人脚本定时及内网任务调度等场景。
O2OA（翱途）是一款面向企业的开源协同办公与应用开发平台，旨在把流程、门户、信息和组织数据集中管理，并通过浏览器完成审批和门户搭建。本文将介绍如何通过 Docker Compose 部署 O2OA，搭建私有化协同办公平台，帮助团队把流程和信息留在自己的服务器上，适合企业 OA 及内部审批门户等场景。
2024-08-26 至 2026-09-30，Docker Hub 把个人账户转成组织时，可以把攻击者持有的 Personal Access Token 改挂到指定用户名下，且不轮换、不吊销密钥（CVE-2026-105445，CVSS 9.4）。攻击者仍可用原密钥在 registry 层以目标用户身份 pull、push、delete。Hub 已于 2026-09-30 修复转换流程，并于 2026-10-08 停用已识别的转移 PAT。请到账户设置里审查并吊销不明 token。
Dockhand 管理界面有三条高危：静态资源后缀可绕过认证并重置管理员密码（CVE-2026-110130，CVSS 10.0）、OIDC 未校验 iss/aud/nonce/exp（CVE-2026-110112，CVSS 8.1）、已登录用户可经 Compose 模板接口回显任意 URL（CVE-2026-110255，CVSS 8.5）。请把 fnsys/dockhand 升到 v1.0.50 或更高，管理面只放内网或 VPN。
Filestash 是一款面向运维和开发的开源 Web 文件管理器，旨在把 SFTP、WebDAV、S3 等已有存储收进同一个网页，并通过浏览器完成浏览和上传。本文将介绍如何通过 Docker Compose 部署 Filestash，搭建浏览器文件管理平台，帮助你少装客户端、直接管理远程目录，适合服务器文件管理及多种存储集中查看等场景。
共 361 篇文章
