Docker Hub自动构建如何安全配置敏感构建变量？

Docker Hub本身没有内置的保密构建变量功能——没法在它的Build configurations里配置那种仅创建时可见、后续隐藏的敏感值。不过有几个实用的替代方案可以解决这个问题：

• 方案一：用GitHub Actions托管构建流程，直接传递Secrets
  放弃Docker Hub的自动构建，改用GitHub Actions完成镜像构建和推送。这样可以直接利用GitHub仓库的Secrets存储敏感信息，构建时通过docker build的--build-arg参数传递，全程敏感值不会暴露在任何界面中。
  操作步骤大致如下：

  1. 在GitHub仓库的「Settings > Secrets and variables > Actions」里添加Docker Hub账号密码（比如DOCKER_USERNAME、DOCKER_PASSWORD），以及需要的敏感构建变量（比如PRIVATE_API_KEY）。
  2. 编写GitHub Actions工作流文件（.github/workflows/docker-build.yml），示例内容：

     name: Build and Push Docker Image
     on: [push]
     jobs:
       build:
         runs-on: ubuntu-latest
         steps:
           - uses: actions/checkout@v4
           - name: 登录Docker Hub
             uses: docker/login-action@v3
             with:
               username: ${{ secrets.DOCKER_USERNAME }}
               password: ${{ secrets.DOCKER_PASSWORD }}
           - name: 构建并推送镜像
             uses: docker/build-push-action@v5
             with:
               context: .
               push: true
               tags: 你的Docker Hub用户名/镜像名:latest
               build-args: |
                 PRIVATE_API_KEY=${{ secrets.PRIVATE_API_KEY }}
     

  3. 之后每次代码推送，Actions都会自动构建镜像并推送到Docker Hub，敏感变量仅在构建过程中临时传递，不会被明文存储或显示。

• 方案二：用Docker Hub Webhook结合外部CI服务
  如果想保留Docker Hub的触发逻辑，可以配置Docker Hub的Webhook，将构建请求转发到自己的CI服务（比如GitLab CI、Jenkins），在这些服务里配置保密变量，完成构建后再推送到Docker Hub。这种方式下，敏感信息完全由外部CI管控，Docker Hub只负责存储最终镜像。

• 方案三：提前构建含敏感信息的中间镜像（不推荐）
  把敏感信息提前打包到私有中间镜像里，然后在Dockerfile中从这个镜像复制文件或环境变量。但这种方式风险高，中间镜像泄露的话敏感信息也会暴露，而且更新敏感值需要重新构建中间镜像，维护成本高，仅适合临时应急场景。

内容的提问来源于stack exchange，提问作者fgalan