非Docker Swarm环境下如何用构建密钥存储凭证并保护本地凭证文件？

一、使用Docker BuildKit的--mount=type=secret特性 #

这是官方推荐的构建时安全传递凭证的方式，既不会把凭证写入镜像层，构建完成后本地也不会残留临时文件：

1. Dockerfile配置：
   在需要使用凭证的RUN指令中挂载secret，示例如下（以读取私有依赖凭证为例）：

   # 启用BuildKit语法（若系统默认已开启可省略）
   # syntax=docker/dockerfile:1.4
   RUN --mount=type=secret,id=my_cred,target=/root/.private_token \
       git clone https://private-repo.example.com/project.git
   

2. 构建命令：
   构建时通过--secret参数直接传递本地凭证，无需将凭证复制到构建上下文：

   DOCKER_BUILDKIT=1 docker build --secret id=my_cred,src=/home/user/.real_credential .
   

   这里的src指向本地真实凭证路径，构建过程中凭证仅临时挂载到容器内，构建结束后自动清理，不会留在镜像或本地临时文件中。

二、本地凭证的额外保护措施 #

• 即时清理临时文件：如果之前采用了复制凭证到构建上下文的方式，构建完成后立刻删除临时复制的文件：

  cp /path/to/real_cred ./temp_cred && docker build . && rm ./temp_cred
  

• 结合系统密钥管理器：利用Linux原生密钥管理工具（如pass、GNOME Keyring），直接从密钥管理器读取凭证内容传递给构建进程，完全避免明文文件操作：

  DOCKER_BUILDKIT=1 docker build --secret id=my_cred,src=<(pass show my/private/cred) .
  

三、多阶段构建作为降级方案 #

如果无法启用BuildKit，可通过多阶段构建丢弃包含凭证的镜像层：

# 第一阶段：使用凭证执行操作
FROM alpine AS builder
COPY ./credential /tmp/cred
RUN echo "使用/tmp/cred完成操作" && rm /tmp/cred

# 第二阶段：仅复制最终产物，丢弃第一阶段的所有层
FROM alpine
COPY --from=builder /app/build /app/

注意：这种方式存在一定风险，若有人获取到第一阶段的镜像层，仍有可能恢复凭证，安全性不如BuildKit的secret挂载方案。

内容的提问来源于stack exchange，提问作者Toan Do