GCP Cloud Build中Secret变量解析异常致镜像标签格式错误

问题现象 #

搭建GitHub与GCP Artifact Registry、Cloud Run的CI/CD流水线时，Cloud Build的Docker构建步骤抛出格式错误：

Step #1: invalid argument "-docker.pkg.dev/[MY_PROJECT_ID]//" for "-t, --tag" flag: invalid reference format

但前置的bash测试步骤能正常读取Secret Manager中的变量，日志显示变量值正确：

Step #0: Status: Downloaded newer image for bash:latest
Step #0: docker.io/library/bash:latest
Step #0: Test de l'URL de l'image:
Step #0: europe-west1-docker.pkg.dev/[MY_PROJECT_ID]/streamlit/portofolio-flenne:1Location: europe-west1
Step #0: Repository: streamlit
Step #0: Image: portofolio-flenne
Step #0: Tag: 1

问题原因 #

Cloud Build中，直接在args数组的字符串里引用Secret环境变量（如$_LOCATION）时，变量不会被正确插值解析。从报错信息-docker.pkg.dev可知，$_LOCATION未被替换为空，导致镜像标签格式完全错误。

修复步骤 #

1. 修改Docker构建步骤 #

将Docker构建步骤改为通过bash执行命令，让bash处理变量替换，同时补上缺失的镜像标签$_TAG：

# 构建并推送容器镜像至Artifact Registry
- name: 'gcr.io/cloud-builders/docker'
  entrypoint: 'bash'
  args:
    - '-c'
    - |
      docker build -t "$_LOCATION-docker.pkg.dev/$PROJECT_ID/$_REPOSITORY/$_IMAGE:$_TAG" .
      docker push "$_LOCATION-docker.pkg.dev/$PROJECT_ID/$_REPOSITORY/$_IMAGE:$_TAG"
  secretEnv: ['_LOCATION', '_REPOSITORY', '_IMAGE', '_TAG']

2. 优化Cloud Run部署步骤 #

部署步骤中无需对Secret变量使用$$转义（$$仅在bash脚本中用于转义$），直接使用变量名即可：

# 部署至Cloud Run
- name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
  entrypoint: gcloud
  args:
    - 'run'
    - 'deploy'
    - '$_SERVICE_NAME'
    - '--image'
    - '$_LOCATION-docker.pkg.dev/${PROJECT_ID}/$_REPOSITORY/$_IMAGE:$_TAG'
    - '--region'
    - '$_REGION'
    - '--platform'
    - 'managed'
  secretEnv: ['_LOCATION', '_REPOSITORY', '_IMAGE', '_TAG', '_SERVICE_NAME', '_REGION']

关键说明 #

• Cloud Build的args数组直接传参时，无法解析字符串中的Secret环境变量，必须通过bash作为入口点执行命令，由bash完成变量插值。
• 用双引号包裹镜像标签字符串，避免变量中包含特殊字符导致格式问题。
• 镜像标签必须包含版本标签$_TAG，确保镜像版本唯一且与部署步骤一致。

内容的提问来源于stack exchange，提问作者frenchie5980000