使用docker/build-push-action@v6传递pip.conf秘钥失败问题排查

失败原因 #

核心问题在于docker/build-push-action处理secrets字段中src路径的逻辑和本地docker buildx不同：

• 本地环境中工作目录路径直接对应主机路径，buildx可以正常读取；但在GitHub Actions的Action容器内，$GITHUB_WORKSPACE是挂载到容器内的路径，build-push-action调用buildx时无法正确解析该路径对应的主机实际路径，导致secret文件无法被读取。
• 另外你在build-args里设置DOCKER_BUILDKIT=1是多余的，docker/setup-buildx-action已默认启用BuildKit，build-push-action也会默认使用BuildKit构建。

解决方案 #

方案1：直接传递Secret内容（推荐，更安全简洁） #

无需创建中间pip.conf文件，直接将GitHub Secrets中的CONF内容作为secret传递给buildx：

修改GitHub Actions工作流

- name: Build and push Docker images
  uses: docker/build-push-action@v6
  with:
    context: python
    platforms: linux/amd64
    push: false
    pull: true
    tags: myrepo/myimage:latest
    build-args: |
      BUILDKIT_INLINE_CACHE=1
    secrets: |
      id=pip_conf,env=CONF

修改Dockerfile

FROM python:3.11-slim

RUN --mount=type=secret,id=pip_conf \
    cat /run/secrets/pip_conf > /etc/pip.conf && \
    pip install --no-cache-dir -r requirements.txt

该方式直接从环境变量读取secret内容，避免了路径解析问题，也符合安全实践。

方案2：修正文件路径问题 #

如果坚持使用文件传递，将pip.conf创建在Action容器的临时目录（路径更可靠）：

修改Configure Python步骤

- name: Configure Python
  run: |
    mkdir -p /tmp/pip
    echo "[global]
    extra-index-url = ${{ secrets.CONF }}" > /tmp/pip/pip.conf

修改build-push-action的secrets配置

secrets: |
  id=pip,src=/tmp/pip/pip.conf

临时目录/tmp在Action容器内路径稳定，不会出现挂载路径解析错误。

补充说明 #

• 你测试v5版本也失败，说明该路径解析问题并非v6独有，是该Action多个版本的共性问题。
• 直接传递secret内容的方式减少了中间文件的暴露风险，更适合CI/CD场景的安全需求。

内容的提问来源于stack exchange，提问作者Nico