弱点補強: Dockerfile多段ビルド×非root実行×イメージ脆弱性スキャン — 単一ステージでビルドツールが最終イメージに残存(1.2GB)→builder/runtime分離で178MBに削減 × COPY . .がpip installより先でレイヤーキャッシュ無効化→依存関係定義を先行コピー × .dockerignore無しで.env/.gitがイメージに混入→除外設定を追加 × USER未指定でroot実行→GKE Autopilotの制約に対応した非rootユーザー化 × python:3.12可変タグでダイジェスト未固定→SHA256固定 × CI/CDにTrivyスキャン工程なし→CRITICAL/HIGH検出でpush停止 × HEALTHCHECK未定義で異常起動を検知できない→既存/healthzを活用（MOps 販促システムチーム campaign-api GKE Autopilot Bad→Good 7点）

📋 コピー# syntax=docker/dockerfile:1.7

# ============================================================
# builder stage: 依存関係のビルドのみを行う使い捨てステージ（問題1の解決）
# psycopg2のコンパイルに必要なgcc/build-essential/libpq-devは
# このステージにしか存在せず、最終イメージには一切持ち込まれない
# ============================================================
FROM python:3.12-slim@sha256:PIN_ME_WITH_DIGEST AS builder
# ↑ 問題5の解決: `docker buildx imagetools inspect python:3.12-slim` で
#   取得したダイジェストに固定し、ベースイメージの無断すり替えを防ぐ

WORKDIR /build

# 問題2の解決: requirements.txtだけを先にコピー
# → コード変更時もこのレイヤーはキャッシュされ、pip installが再実行されない
COPY requirements.txt .

RUN apt-get update \
    && apt-get install -y --no-install-recommends gcc build-essential libpq-dev \
    && pip install --no-cache-dir --user -r requirements.txt \
    && apt-get purge -y --auto-remove gcc build-essential \
    && rm -rf /var/lib/apt/lists/*

# ============================================================
# runtime stage: ビルドツールを含まない最小の実行環境
# ============================================================
FROM python:3.12-slim@sha256:PIN_ME_WITH_DIGEST AS runtime

# 問題4の解決: 非特権ユーザーを明示的に作成
RUN groupadd --gid 10001 appgroup \
    && useradd --uid 10001 --gid appgroup --no-create-home --shell /usr/sbin/nologin appuser

WORKDIR /app

# builderステージのビルド済み依存関係のみをコピー（ビルドツールは持ち込まない）
COPY --from=builder /root/.local /home/appuser/.local
# 問題3の解決: .dockerignoreと組み合わせて.env/.git/testsを除外した上でコピー
COPY --chown=appuser:appgroup . .

ENV PATH=/home/appuser/.local/bin:$PATH \
    PYTHONDONTWRITEBYTECODE=1 \
    PYTHONUNBUFFERED=1

USER appuser

EXPOSE 8080

# 問題7の解決: 既存の/healthzを使ってコンテナレベルの起動確認を行う
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
    CMD python -c "import urllib.request; urllib.request.urlopen('http://localhost:8080/healthz')" || exit 1

CMD ["python", "app.py"]