Docker构建时Secret文件挂载失败，请求排查问题

你的核心问题是对Docker构建时的secret挂载机制理解有误：--mount=type=secret的挂载仅在当前RUN命令的执行周期内有效，当该RUN命令执行完毕后，挂载的文件会被立即清理，后续的RUN命令无法访问这些临时挂载的文件。

你单独执行RUN ls -la /usr/local/cargo/时，之前的secret挂载已经失效，所以看不到这两个文件。

解决方案 #

方案1：将依赖secret的操作与挂载放在同一个RUN命令中（推荐） #

如果你的目标是在构建过程中使用这两个cargo配置文件（比如执行cargo build），直接把所有相关命令和挂载写在同一个RUN里，这样在命令执行期间能正常访问挂载的文件：

RUN --mount=type=secret,id=config,target=/usr/local/cargo/config.toml \
    --mount=type=secret,id=credentials,target=/usr/local/cargo/credentials.toml \
    # 先验证文件存在，再执行你的实际构建命令
    ls -la /usr/local/cargo/ && \
    cargo build --release

方案2：将secret文件复制到镜像中（不推荐，存在安全风险） #

如果必须让后续RUN命令也能访问这两个文件，可以在挂载的RUN里把文件复制到目标目录，但这会将敏感的credentials.toml永久留在镜像中，泄露风险极高，仅适合测试场景：

# 临时挂载secret并复制到镜像内的目录
RUN --mount=type=secret,id=config,target=/tmp/config.toml \
    --mount=type=secret,id=credentials,target=/tmp/credentials.toml \
    cp /tmp/config.toml /usr/local/cargo/config.toml && \
    cp /tmp/credentials.toml /usr/local/cargo/credentials.toml

# 后续RUN命令就能看到文件了
RUN ls -la /usr/local/cargo/

验证方法 #

你可以直接在挂载的RUN里加入ls命令，就能确认挂载是否成功：

RUN --mount=type=secret,id=config,target=/usr/local/cargo/config.toml \
    --mount=type=secret,id=credentials,target=/usr/local/cargo/credentials.toml \
    ls -la /usr/local/cargo/

执行构建命令后，会在输出中看到这两个文件，证明挂载本身是有效的。

内容的提问来源于stack exchange，提问作者Andy95