Cloud Build中配置Node.js连接MySQL数据库的问题求助

核心问题 #

你当前的配置存在两个关键问题：

1. Cloud Build步骤里的env是步骤自身的环境变量，不会自动传递给Docker构建过程；且明文存储数据库凭证严重不安全，会暴露在构建日志和配置中。
2. 此前Cloud Run环境变量未生效，大概率是部署配置错误或应用代码读取逻辑问题。

构建阶段安全连接数据库的正确配置 #

第一步：将数据库凭证存入Secret Manager #

先把DB_USER、DB_PASS、DB_NAME、DB_HOST分别创建为Secret Manager的密钥（彻底避免明文泄露风险）。

第二步：修改cloudbuild.yaml #

通过Secret Manager拉取凭证，安全传递给Docker构建过程（如果构建时需要连接数据库，比如执行数据迁移）：

steps:
  # 拉取凭证并执行Docker构建
  - name: 'gcr.io/cloud-builders/gcloud'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        DB_USER=$(gcloud secrets versions access latest --secret=db-user)
        DB_PASS=$(gcloud secrets versions access latest --secret=db-pass)
        DB_NAME=$(gcloud secrets versions access latest --secret=db-name)
        DB_HOST=$(gcloud secrets versions access latest --secret=db-host)
        docker build --build-arg DB_USER=$DB_USER --build-arg DB_PASS=$DB_PASS --build-arg DB_NAME=$DB_NAME --build-arg DB_HOST=$DB_HOST -t gcr.io/[你的项目ID]/[镜像名称] .
    secretEnv: ['db-user', 'db-pass', 'db-name', 'db-host']
  
  # 推送镜像到容器注册表
  - name: 'gcr.io/cloud-builders/docker'
    args: ['push', 'gcr.io/[你的项目ID]/[镜像名称]']
  
  # 部署到Cloud Run（同时配置安全的环境变量）
  - name: 'gcr.io/cloud-builders/gcloud'
    args:
      - 'run'
      - 'deploy'
      - '[你的Cloud Run服务名]'
      - '--image'
      - 'gcr.io/[你的项目ID]/[镜像名称]'
      - '--region'
      - '[你的区域，比如us-central1]'
      # 推荐：直接挂载Secret到环境变量，无需明文传递
      - '--set-secrets'
      - 'DB_USER=db-user:latest,DB_PASS=db-pass:latest,DB_NAME=db-name:latest,DB_HOST=db-host:latest'

# 配置Cloud Build可访问的Secret
availableSecrets:
  secretManager:
    - versionName: projects/[你的项目ID]/secrets/db-user/versions/latest
      env: 'db-user'
    - versionName: projects/[你的项目ID]/secrets/db-pass/versions/latest
      env: 'db-pass'
    - versionName: projects/[你的项目ID]/secrets/db-name/versions/latest
      env: 'db-name'
    - versionName: projects/[你的项目ID]/secrets/db-host/versions/latest
      env: 'db-host'

options:
  logging: CLOUD_LOGGING_ONLY

Cloud Run环境变量生效的关键 #

1. 不要硬编码到镜像：构建时不要把环境变量打包进镜像，而是部署时动态设置，方便后续修改且更安全。
2. 正确读取环境变量：检查应用代码是否正确读取环境变量（比如拼写是否一致、大小写是否匹配，例如Python用os.getenv("DB_USER")，Node.js用process.env.DB_USER）。
3. 权限配置：如果用Secret Manager挂载，确保Cloud Run服务账号有roles/secretmanager.secretAccessor权限，否则无法拉取密钥。

为什么之前的配置无效？ #

• 你之前Cloud Build里的env是Cloud Build步骤自身的环境变量，不会自动传递给Docker构建过程；如果Dockerfile需要这些变量，必须用--build-arg显式传递。
• 明文存储凭证不仅不安全，还可能因为构建日志泄露导致风险。

内容的提问来源于stack exchange，提问作者Leonel Matias Domingos