FROM python:3.12-slim

ENV PYTHONUNBUFFERED=1 \
    PYTHONDONTWRITEBYTECODE=1

WORKDIR /app

COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

COPY . .

# Nicht als root laufen lassen.
RUN useradd --create-home --uid 10001 appuser \
    && chown -R appuser:appuser /app
USER appuser

EXPOSE 8000

# Ueber "sh" aufrufen: das Bind-Mount ./backend:/app ueberschreibt /app
# samt Dateirechten, ein x-Bit aus dem Image waere dann wirkungslos.
CMD ["sh", "/app/entrypoint.sh"]