如何在docker-compose中使用Docker Secrets配置连接字符串？

你遇到的问题其实很常见——WordPress官方镜像之所以能直接用_FILE后缀的环境变量读取Secrets，是因为它内置了专门的逻辑来处理这种格式的变量，自动读取对应文件的内容作为实际配置值。但你的自定义ASP.NET Core应用镜像并没有这个内置逻辑，所以直接把连接字符串的环境变量设为secret文件路径是行不通的，得自己加一些处理步骤。

下面给你几个可行的解决方案，按推荐程度排序：

方案1：在ASP.NET Core应用中直接读取Secret文件 #

这是最直接的方式，利用ASP.NET Core的配置系统，在应用启动时读取secret文件的内容，覆盖连接字符串配置：

修改你的Program.cs（如果是旧版本项目则是Startup.cs），添加读取secret文件的逻辑：

var builder = WebApplication.CreateBuilder(args);

// 读取Docker Secret中的连接字符串文件
var secretPath = "/run/secrets/connection_string";
if (File.Exists(secretPath))
{
    // 读取文件内容并去除首尾空白（避免换行或空格问题）
    var connectionString = File.ReadAllText(secretPath).Trim();
    // 更新配置中的连接字符串
    builder.Configuration["ConnectionStrings:DefaultConnection"] = connectionString;
}

// 剩下的应用配置逻辑不变
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseNpgsql(builder.Configuration.GetConnectionString("DefaultConnection")));

var app = builder.Build();
// ... 后续中间件和启动逻辑

这样配置后，docker-compose里的testapp服务可以去掉原来的ConnectionStrings__DefaultConnection环境变量，或者保留作为 fallback（当secret文件不存在时使用）。

方案2：用Entrypoint脚本预处理环境变量 #

如果不想修改应用代码，可以在Docker镜像里添加一个启动脚本，先读取secret文件内容，再设置成环境变量，最后启动应用：

1. 先在项目根目录创建一个entrypoint.sh脚本：

#!/bin/bash
set -e

# 读取连接字符串Secret文件
if [ -f /run/secrets/connection_string ]; then
    export ConnectionStrings__DefaultConnection=$(cat /run/secrets/connection_string | tr -d '\n')
fi

# 启动ASP.NET Core应用（根据你的实际程序名称调整）
exec dotnet TestApp.dll

2. 修改你的Dockerfile，添加这个脚本并设置为Entrypoint：

# 基础镜像部分不变
FROM mcr.microsoft.com/dotnet/aspnet:6.0 AS base
WORKDIR /app
EXPOSE 80

# 构建部分不变
FROM mcr.microsoft.com/dotnet/sdk:6.0 AS build
WORKDIR /src
COPY ["TestApp/TestApp.csproj", "TestApp/"]
RUN dotnet restore "TestApp/TestApp.csproj"
COPY . .
WORKDIR "/src/TestApp"
RUN dotnet build "TestApp.csproj" -c Release -o /app/build

FROM build AS publish
RUN dotnet publish "TestApp.csproj" -c Release -o /app/publish /p:UseAppHost=false

# 最终镜像部分添加脚本
FROM base AS final
WORKDIR /app
COPY --from=publish /app/publish .
# 复制entrypoint脚本到容器
COPY entrypoint.sh .
# 赋予执行权限
RUN chmod +x entrypoint.sh
# 设置启动命令
ENTRYPOINT ["./entrypoint.sh"]

3. 最后修改docker-compose里的testapp服务，去掉原来的ConnectionStrings__DefaultConnection环境变量配置即可。

方案3：利用ASP.NET Core配置系统直接加载Secret文件 #

ASP.NET Core的配置系统支持从文件加载配置，你可以直接把secret文件作为一个配置源添加：

var builder = WebApplication.CreateBuilder(args);

// 如果你的connection_string是纯文本的连接字符串，用InMemoryCollection加载
var connectionString = File.ReadAllText("/run/secrets/connection_string").Trim();
builder.Configuration.AddInMemoryCollection(new Dictionary<string, string>
{
    {"ConnectionStrings:DefaultConnection", connectionString}
});

// 后续配置逻辑不变
// ...

注意事项 #

• 确保容器内的应用进程有读取/run/secrets/目录下文件的权限——Docker会自动给Secrets设置合适的权限（通常是root:root，权限0444），ASP.NET Core默认用appuser运行的话，需要确保这个用户能读取文件，或者在Dockerfile中调整用户。
• 开发环境可以做条件判断，比如只在Docker环境下才读取secret文件，避免本地开发时报错。

备注：内容来源于stack exchange，提问作者Īlirim Murati