.NET应用Dockerfile的Sonar递归拷贝安全问题求助

Sonar触发该警告的核心原因是：COPY . .会递归拷贝构建上下文的所有文件，可能意外包含敏感信息（如本地配置密钥、未提交的敏感文件）、无用构建产物（如bin/、obj/）或冗余依赖，不仅存在安全泄露风险，还会增大镜像体积、破坏Docker构建缓存机制。

以下是具体解决方案：

1. 配合.dockerignore排除不必要文件（基础防护） #

在项目根目录创建.dockerignore文件，提前排除不需要进入构建上下文的文件，避免误拷贝：

# .NET构建产物
bin/
obj/
# Git相关文件
.git/
.github/
# 本地开发配置
appsettings.Development.json
*.user
*.suo
# 敏感文件
.env
*.pem

2. 明确指定拷贝内容，替代COPY . .（彻底解决警告） #

不要递归拷贝整个目录，而是只拷贝项目构建必需的文件/目录，比如针对你的.NET项目，修改Dockerfile中的COPY . .为：

# 仅拷贝项目源代码目录
COPY ["myproject/", "myproject/"]
# 如果存在共享项目或全局构建配置文件，单独拷贝
# COPY ["SharedProject/", "SharedProject/"]
# COPY ["Directory.Build.props", "."]

这种方式能精准控制拷贝内容，彻底消除Sonar的安全顾虑，同时还能提升Docker构建缓存效率——只有当指定的文件发生变化时，才会重新执行拷贝步骤。

3. 优化后的完整Dockerfile #

FROM mcr.microsoft.com/dotnet/aspnet:8.0 AS base
USER app
WORKDIR /app
EXPOSE 80
EXPOSE 443

FROM mcr.microsoft.com/dotnet/sdk:8.0 AS build
ARG NUGET_AUTH_TOKEN
ARG NUGET_USER_NAME
RUN dotnet nuget add source https://nuget.pkg.github.com/MAERSK-GLOBAL/index.json -n github -u $NUGET_USER_NAME -p $NUGET_AUTH_TOKEN --store-password-in-clear-text

ARG BUILD_CONFIGURATION=Release
WORKDIR /src

# 先拷贝项目文件，利用缓存执行restore
COPY ["myproject/myproject.csproj", "myproject/"]
RUN dotnet restore "./myproject/myproject.csproj"

# 明确拷贝所需文件，替代原有的COPY . .
COPY ["myproject/", "myproject/"]

WORKDIR "/src/myproject"
RUN dotnet build "./myproject.csproj" -c $BUILD_CONFIGURATION -o /app/build

FROM build AS publish
ARG BUILD_CONFIGURATION=Release
RUN dotnet publish "./myproject.csproj" -c $BUILD_CONFIGURATION -o /app/publish /p:UseAppHost=false

FROM base AS final
WORKDIR /app
COPY --from=publish /app/publish .
ENTRYPOINT ["dotnet", "myproject.dll"]

内容的提问来源于stack exchange，提问作者Niranjan godbole