Docker构建注入Azure密钥变量失败，令牌无效问题排查

问题情况 #

尝试将Azure机密变量SENTRY_AUTH_TOKEN注入Dockerfile的环境变量时，收到"令牌无效"错误，但硬编码令牌时可正常工作。相关配置如下：

原Dockerfile #

# 1. Install dependencies only when needed
FROM node:20-alpine AS base

RUN --mount=type=secret,id=SENTRY_AUTH_TOKEN \
    SENTRY_AUTH_TOKEN=$(cat /run/secrets/SENTRY_AUTH_TOKEN)


# 2. Rebuild the source code only when needed
FROM base AS builder
WORKDIR /app
COPY . .
RUN yarn install --frozen-lockfile

ENV NODE_ENV=production
ENV NEXT_PUBLIC_SENTRY_DSN="{{NEXT_PUBLIC_SENTRY_DSN}}"
ENV NEXT_PUBLIC_SENTRY_LOGGING_ENABLED="{{NEXT_PUBLIC_SENTRY_LOGGING_ENABLED}}"
ENV SENTRY_LOG_LEVEL=debug
ENV SENTRY_AUTH_TOKEN="{{SENTRY_AUTH_TOKEN}}"

RUN yarn build

# 3. Production image, copy all the files and run next
FROM base AS runner

WORKDIR /app

ENV NODE_ENV=production
ENV NEXT_TELEMETRY_DISABLED=1
ENV USE_HTTPS=true

RUN addgroup -g 1001 -S nodejs
RUN adduser -S nextjs -u 1001

COPY --from=builder /app/public ./public
COPY --from=builder /app/package.json ./package.json

# Automatically leverage output traces to reduce image size
# https://nextjs.org/docs/advanced-features/output-file-tracing
COPY --from=builder --chown=nextjs:nodejs /app/.next/standalone ./
COPY --from=builder --chown=nextjs:nodejs /app/.next/static ./.next/static
COPY --from=builder --chown=nextjs:nodejs /app/entrypoint.sh ./entrypoint.sh
COPY --from=builder --chown=nextjs:nodejs /app/next.config.js ./next.config.js
COPY --from=builder --chown=nextjs:nodejs /app/next-i18next.config.js ./next-i18next.config.js

RUN ["chmod", "755", "/app/entrypoint.sh"]

USER nextjs

EXPOSE 3000

ENV PORT 3000

ENTRYPOINT ["/app/entrypoint.sh"]

CMD ["node", "server.js"]

原Azure构建流水线命令 #

- script: 
   SENTRY_AUTH_TOKEN=SENTRY_AUTH_TOKEN docker buildx build -f
   dockerfile.prod --secret id=SENTRY_AUTH_TOKEN -t $(IMAGE_ID)
   --progress plain .

   displayName: 'docker build'
   env:
     SENTRY_AUTH_TOKEN: $(SENTRY_AUTH_TOKEN)

错误原因分析 #

1. Base阶段临时变量无法继承：Base阶段中RUN --mount=type=secret设置的SENTRY_AUTH_TOKEN仅在当前RUN命令的容器上下文内有效，不会被后续的builder阶段继承。
2. Dockerfile不支持模板占位符：Builder阶段中ENV SENTRY_AUTH_TOKEN="{{SENTRY_AUTH_TOKEN}}"是将环境变量设为字符串{{SENTRY_AUTH_TOKEN}}，而非实际令牌值，Dockerfile本身不支持这种模板替换语法。
3. 流水线命令变量赋值错误：原命令中SENTRY_AUTH_TOKEN=SENTRY_AUTH_TOKEN是将变量赋值为字符串"SENTRY_AUTH_TOKEN"，而非引用Azure流水线中的机密变量值。

解决方案 #

1. 修改Dockerfile，在需要的阶段直接使用机密 #

删除Base阶段无效的RUN命令，在builder阶段执行yarn build时挂载机密并临时设置环境变量：

# 1. Install dependencies only when needed
FROM node:20-alpine AS base

# 2. Rebuild the source code only when needed
FROM base AS builder
WORKDIR /app
COPY . .
RUN yarn install --frozen-lockfile

ENV NODE_ENV=production
ENV NEXT_PUBLIC_SENTRY_DSN="{{NEXT_PUBLIC_SENTRY_DSN}}"
ENV NEXT_PUBLIC_SENTRY_LOGGING_ENABLED="{{NEXT_PUBLIC_SENTRY_LOGGING_ENABLED}}"
ENV SENTRY_LOG_LEVEL=debug

# 挂载机密并在build时传递令牌
RUN --mount=type=secret,id=SENTRY_AUTH_TOKEN \
    SENTRY_AUTH_TOKEN=$(cat /run/secrets/SENTRY_AUTH_TOKEN) yarn build

# 3. Production image, copy all the files and run next
FROM base AS runner
# 后续内容保持不变...

2. 修正Azure流水线的Docker构建命令 #

使用--secret id=SENTRY_AUTH_TOKEN,env=SENTRY_AUTH_TOKEN参数，让Docker直接从流水线环境变量中读取机密值：

- script: |
    docker buildx build -f dockerfile.prod \
      --secret id=SENTRY_AUTH_TOKEN,env=SENTRY_AUTH_TOKEN \
      -t $(IMAGE_ID) --progress plain .
  displayName: 'docker build'
  env:
    SENTRY_AUTH_TOKEN: $(SENTRY_AUTH_TOKEN)

验证逻辑 #

修改后，执行yarn build时会从Docker机密中读取真实的SENTRY_AUTH_TOKEN值，而非无效的占位符或字符串，确保令牌能正确传递给Sentry相关构建步骤。

内容的提问来源于stack exchange，提问作者Yuvi