docker-composeのセキュリティを考慮した書き方に関して

Question

以前、docker-composeでコードを公開する書き方をするのはセキュリティ上良くないとの指摘を受けたことがあります。具体的にはvolumesにおいてnamed volumeを使わず、host volumeを使った所を指摘されたのだと思いますが、フロントエンド、バックエンドのコード情報を、hostのパスを指定せずに（host volumeを使わずに）docker-composeに反映することは可能なのでしょうか。方法があれば教えていただきたいです。指摘を受けたymlファイルは下のものになります。

###開発環境

• React.js
• Django
• PostgreSQL

version: "3"

services:
  db:
    image: postgres
    ports:
      - "5432:5432"
    environment:
      - POSTGRES_HOST_AUTH_METHOD=trust
  django:
    build: ./api
    command: ["python3", "manage.py", "runserver", "0.0.0.0:8000"]
    volumes:
      - ./api:/app/api
    ports:
      - "8000:8000"
    depends_on:
      - db
  frontend:
    build: ./frontend
    command: ["npm", "start"]
    volumes:
      - ./frontend:/app/frontend
      - node-modules:/app/frontend/node_modules
    ports:
      - "3000:3000"
    stdin_open: true

volumes:
  node-modules:

Comments

[surface_0]

> コードを公開する書き方
『公開』とはどういうことを指していますか？
このコードを部外者に開示しなければならないということでしょうか。

[seiyau77]

ご質問ありがとうございます????‍♂️
短い面談で深く聞けなかったのですが、host volumeでコードをcontainer内の仮想リソースとして紐づけるのはコードが他者に公開されてしまう危険性があるという意味で解釈をしました。

[surface_0]

他者に公開されてしまうという理由がよくわかりません。
公開されてしまう仕組みそのものが良くないのでは？
あと、host volumeというのはバインドマウントの事で合ってますか？

[dameo]

「短い面談で深く聞けなかった」ために「という意味で解釈をしました」や「指摘されたのだと思います」では質問内容がブレてしまいます。大変お手数をおかけして申し訳ありませんが、ご面倒でも指摘された方に再度確認して頂き、正確な質問をお願いいたします。