Dify中的SSRF_PROXY服务

用户4443

2025年7月4日修改

本文使用Dify v1.5.0版本，主要介绍了Dify中的SSRF_PROXY。为什么需要SSRF_PROXY，可参考Dify官方文档的FAQ[2]。简单理解，为了防止SSRF（服务器端请求伪造）。​

common.docs_name - LarkCCM_Docs_Menu_Image

一.ssrf_proxy服务

1.ssrf_proxy配置

文件位置：dify/docker/docker-compose.yaml

代码块

# ssrf_proxy server​
# for more information, please refer to​
# https://docs.dify.ai/learn-more/faq/install-faq#18-why-is-ssrf-proxy-needed%3F​
ssrf_proxy:​
  image: ubuntu/squid:latest​
  restart: always​
  volumes:​
    - ./ssrf_proxy/squid.conf.template:/etc/squid/squid.conf.template​
    - ./ssrf_proxy/docker-entrypoint.sh:/docker-entrypoint-mount.sh​
  entrypoint: [ 'sh', '-c', "cp /docker-entrypoint-mount.sh /docker-entrypoint.sh && sed -i 's/\r$$//' /docker-entrypoint.sh && chmod +x /docker-entrypoint.sh && /docker-entrypoint.sh" ]​
  environment:​
    # pls clearly modify the squid env vars to fit your network environment.​
    HTTP_PORT: ${SSRF_HTTP_PORT:-3128}​
    COREDUMP_DIR: ${SSRF_COREDUMP_DIR:-/var/spool/squid}​
    REVERSE_PROXY_PORT: ${SSRF_REVERSE_PROXY_PORT:-8194}​
    SANDBOX_HOST: ${SSRF_SANDBOX_HOST:-sandbox}​
    SANDBOX_PORT: ${SANDBOX_PORT:-8194}​
  networks:​
    - ssrf_proxy_network​
    - default​

下面解析这段 docker-compose.yml 片段，说明每个字段在 Dify 的 ssrf_proxy 服务中扮演的角色。​

配置字段	解释
ssrf_proxy:	定义一个名为 ssrf_proxy 的服务，用于防止 SSRF（服务器端请求伪造）。Dify 通过把所有外部 HTTP 请求转发到一个受控的 Squid 代理来削弱风险。
image: ubuntu/squid:latest	选用官方 Squid 代理在 Ubuntu 基础镜像上的最新版本。Squid 天然支持 ACL、速率限制、日志等功能，适合作为安全代理。
restart: always	若容器异常退出，Docker 会自动重启，保证代理始终可用。
volumes:	挂载两类文件： ① ./ssrf_proxy/squid.conf.template → /etc/squid/squid.conf.template：自定义 ACL/白名单/端口规则； ② ./ssrf_proxy/docker-entrypoint.sh → /docker-entrypoint-mount.sh：自定义启动脚本。
entrypoint:	运行一段 shell 命令替换默认 entrypoint.sh： 1.把挂载的脚本复制为真正入口； 2.删除 Windows 换行(\r)； 3.加可执行权限； 4.执行脚本。该脚本通常会把模板渲染为最终 squid.conf 并启动 Squid。

Dify中的SSRF_PROXY服务​

Dify中的SSRF_PROXY服务