如何在GCP App Engine Flex中安全存储环境变量？

现有技术栈：

• 源代码管理：GitHub（GH）
• CI/CD：GH Actions（负责构建Docker镜像并推送到GCP Artifact Registry）
• 镜像仓库：GCP Artifact Registry
• 部署平台：GCP App Engine Flex

当前问题：app.yaml中以明文存储环境变量，尝试通过GH Action从Actions Secrets拉取密钥写入.env文件，再用该文件构建镜像，但Docker构建时无法读取.env文件。

方案1：直接在GH Actions中传递环境变量到Docker构建 #

跳过生成.env文件的步骤，直接通过--build-arg将密钥传入Docker构建环节，避免文件路径或读取逻辑问题：

GH Actions步骤示例 #

- name: 构建并推送Docker镜像
  env:
    DB_PASSWORD: ${{ secrets.DB_PASSWORD }}
    API_KEY: ${{ secrets.API_KEY }}
  run: |
    docker build \
      --build-arg DB_PASSWORD=$DB_PASSWORD \
      --build-arg API_KEY=$API_KEY \
      -t us-central1-docker.pkg.dev/[你的GCP项目ID]/[仓库名]/[镜像名]:${{ github.sha }} .
    docker push us-central1-docker.pkg.dev/[你的GCP项目ID]/[仓库名]/[镜像名]:${{ github.sha }}

Dockerfile中接收构建参数 #

# 定义构建阶段参数
ARG DB_PASSWORD
ARG API_KEY

# 将参数转为镜像环境变量
ENV DB_PASSWORD=$DB_PASSWORD
ENV API_KEY=$API_KEY

方案2：正确生成并使用.env文件 #

如果必须依赖.env文件，需确保文件生成路径与Docker构建上下文一致，且Dockerfile正确处理该文件：

GH Actions中生成.env文件 #

- name: 生成.env配置文件
  run: |
    echo "DB_PASSWORD=${{ secrets.DB_PASSWORD }}" >> .env
    echo "API_KEY=${{ secrets.API_KEY }}" >> .env
  working-directory: ./  # 确保路径与Dockerfile所在目录一致

- name: 构建并推送镜像
  run: |
    docker build -t [镜像标签] .
    docker push [镜像标签]

Dockerfile中加载.env文件 #

如果你的应用通过读取.env文件获取变量，需将文件复制到镜像对应目录：

COPY .env /app/.env
# 根据你的应用实际运行目录调整路径

注意：此方式会将.env文件打包进镜像，敏感数据会随镜像分发，需评估风险后使用。

方案3：使用GCP Secret Manager管理密钥（推荐） #

结合GCP生态，用Secret Manager存储敏感密钥，部署时直接从服务端注入，无需将密钥打包进镜像：

1. 上传密钥到GCP Secret Manager #

在GCP控制台创建对应Secret（如db-password、api-key）并存入敏感值。

2. 修改app.yaml引用Secret #

runtime: custom
env: flex

env_variables:
  # 普通非敏感变量
  APP_ENV: production
  # 引用Secret Manager中的密钥
  DB_PASSWORD: secret://projects/[你的GCP项目ID]/secrets/db-password/versions/latest
  API_KEY: secret://projects/[你的GCP项目ID]/secrets/api-key/versions/latest

3. 授权App Engine访问Secret Manager #

在GCP IAM中，找到App Engine默认服务账号（格式：[项目ID]@appspot.gserviceaccount.com），添加Secret Manager Secret Accessor角色。

此方式无需在CI/CD流程中处理敏感密钥，所有变量由GCP在部署时注入，安全性更高。

内容的提问来源于stack exchange，提问作者sagars01