Post

使用Docker Compose部署OpenCVE与Airflow：解决Git权限与所有权问题指南

2026-04-24

docker-compose

概述

本文基于官方文档与实际部署经验，系统梳理 OpenCVE 与 Apache Airflow 在 Docker Compose 场景下的部署要点。重点解决 Git 安全策略与文件权限导致的常见故障，提供可复用的初始化流程与生产优化建议。

核心概念

OpenCVE：基于 Django 的漏洞信息聚合平台，依赖 Git 仓库进行数据更新
Apache Airflow：任务调度系统，通过 DAG 定义数据处理流程
Git 安全目录机制：Git 2.35+ 引入的目录权限校验功能，防止意外操作敏感路径
Docker Compose 绑定挂载：将宿主机目录挂载到容器内，实现数据持久化与权限控制

工作原理

系统通过 Airflow DAG 触发 Git 操作（git fetch/git pull）获取漏洞数据，随后由 OpenCVE 的 Worker 进程处理并写入 PostgreSQL 数据库。整个流程中，Airflow 容器需具备对 Git 仓库的读写权限，而 Git 的安全策略会严格校验目录所有权与权限。

使用方法

1. 目录结构规划

推荐采用以下结构组织项目：

opencve/
├── docker-compose.yml
├── airflow/
│   └── dags/
│       └── opencve.py
├── repositories/
│   ├── vulnrichment/
│   ├── cve-data/
│   └── rules/

repositories/ 目录需以绑定挂载方式挂载到 Airflow 容器的 /home/airflow/repositories
避免混用其他业务目录，防止权限冲突

2. Docker Compose 配置要点

1services:
2  airflow-scheduler:
3    image: apache/airflow:2.x
4    user: "${AIRFLOW_UID:-50000}:0"  # 禁用 root 用户
5    volumes:
6      - ./repositories:/home/airflow/repositories  # 绑定挂载 Git 仓库

禁用 root 用户：Airflow 官方推荐非 root 运行，降低权限风险
绑定挂载路径：避免使用 /root、/opt 等系统目录，推荐挂载到 /home/airflow/repositories

3. 初始化流程（仅需执行一次）

进入容器

1docker compose exec --user root airflow-scheduler bash

配置 Git 安全目录

1git config --global --add safe.directory /home/airflow/repositories
2# 或更严格限制
3git config --global --add safe.directory /home/airflow/repositories/vulnrichment

修复文件权限
```
1chown -R airflow:0 /home/airflow/repositories
2chmod -R u+rwX /home/airflow/repositories
```
- chown 确保目录归属 airflow 用户
- chmod 开放读写权限（X 保留可执行权限）

验证操作

1su airflow
2cd /home/airflow/repositories/vulnrichment
3git fetch

若无报错即为成功。

常见问题与解决方案

1. `dubious ownership in repository`

原因：Git 检测到仓库目录所有权与当前用户不匹配
解决：

1git config --global --add safe.directory /home/airflow/repositories

2. `.git/FETCH_HEAD: Permission denied`

原因：airflow 用户无写权限导致 Git 操作失败
解决：

在容器内执行 chown 与 chmod（见初始化流程）
避免在宿主机直接修改权限（绑定挂载后宿主机操作无效）

3. DAG 显示失败但日志显示成功

原因：前序任务或历史运行状态影响 DAG 整体状态
解决：

通过 Airflow UI 执行 Clear Task 或 Clear DAG Run
重新触发完整 DAG 执行

4. 是否需要删除 DAG 文件？

答案：不需要
DAG 文件仅定义任务逻辑，问题根源在于文件系统权限。删除 DAG 无法解决权限问题。

生产环境优化建议

减少 Git 操作频率
- 避免每个 Task 都执行 git fetch
- 可设计统一拉取任务，后续 Task 读取本地数据
最小权限原则
- 仅对需要更新的仓库开放写权限
- 其余仓库设置为只读模式

脚本化初始化流程
在 Airflow 容器的 entrypoint.sh 中添加：

1git config --global --add safe.directory /home/airflow/repositories
2chown -R airflow:0 /home/airflow/repositories
3chmod -R u+rwX /home/airflow/repositories

避免新环境重复踩坑。

总结

OpenCVE 与 Airflow 的 Docker Compose 部署核心在于 Git 权限管理。通过合理配置安全目录、绑定挂载路径及文件权限，可彻底规避 dubious ownership 与 Permission denied 等常见问题。生产环境中建议通过脚本化初始化流程确保部署一致性，并优化 Git 操作频率以提升稳定性。

概述