如何在Docker容器运行时传入GitHub Token？规避ARG/ENV敏感数据风险

方法1：运行时通过--env临时传入（最简便） #

直接在启动容器时用--env（或简写-e）传入GitHub Token，这种方式不会将Token写入镜像，仅在容器运行时生效，也不会遗留到镜像构建历史中，完全规避敏感数据警告。

示例命令：

docker run -e GITHUB_TOKEN=your_github_token your-image-name

容器内的脚本或程序直接读取环境变量GITHUB_TOKEN即可使用。

方法2：使用Docker Secrets（适合集群/生产环境） #

如果是Docker Swarm这类集群环境，用Docker Secrets管理敏感数据更安全：

1. 创建Secret：

echo "your_github_token" | docker secret create github_token -

2. 启动容器时挂载Secret：

docker service create --name your-service --secret github_token your-image-name

容器内的Secret默认挂载到/run/secrets/github_token路径，程序读取该文件内容即可获取Token。

方法3：运行时挂载本地文件（适合单机测试） #

将Token存入本地文件，启动容器时挂载到容器内部，通过读取文件内容获取Token：

1. 本地创建github_token.txt文件，写入你的GitHub Token；
2. 启动容器：

docker run -v $(pwd)/github_token.txt:/app/github_token.txt your-image-name

容器内的脚本读取/app/github_token.txt的内容即可。

关键注意事项 #

• 绝对不要在Dockerfile中用ARG或ENV定义GITHUB_TOKEN，哪怕是构建时传入的ARG也会留在镜像历史中，存在泄露风险，这也是触发Docker敏感数据警告的核心原因；
• 容器内的程序需确保Token不会被打印到日志或输出到其他不安全的位置。

内容的提问来源于stack exchange，提问作者David