如何在Dockerfile中抑制RUN命令输出？避免SSH私钥泄露

问题根源 #

你用双引号包裹${SSH_PRIVATE_KEY}时，环境变量会在构建阶段被直接展开到RUN命令的参数中，Docker构建日志会记录这个展开后的命令，导致私钥片段泄露。

可行解决方案 #

1. 避免命令行中展开变量（简单有效）

通过bash内部展开变量，不让Docker直接解析变量。把命令放在bash -c的单引号参数里，Docker只会记录未展开的命令，变量在shell内部处理：

RUN bash -c 'echo "$SSH_PRIVATE_KEY" > /home/$USER/.ssh/id_ed25519'

也可以用printenv直接读取环境变量写入文件，同样不会在命令行暴露私钥：

RUN printenv SSH_PRIVATE_KEY > /home/$USER/.ssh/id_ed25519

2. 抑制命令输出（仅隐藏执行输出，无法避免命令展开泄露）

如果只是不想看到命令执行的输出，可以将标准输出和错误输出都重定向到/dev/null，但注意这无法解决命令行变量展开导致的日志泄露问题：

RUN echo "${SSH_PRIVATE_KEY}" > /home/$USER/.ssh/id_ed25519 2>&1 > /dev/null

3. 使用Docker Build Secret（最安全推荐）

Docker 18.09+支持的BuildKit功能可以在构建时临时挂载secret，既不会将私钥写入镜像，也不会出现在任何构建日志中。

首先启用BuildKit：

export DOCKER_BUILDKIT=1

修改Dockerfile（需指定BuildKit语法）：

# syntax=docker/dockerfile:1.2

RUN --mount=type=secret,id=ssh_private_key \
    cat /run/secrets/ssh_private_key > /home/$USER/.ssh/id_ed25519 && \
    chmod 600 /home/$USER/.ssh/id_ed25519

构建时通过--secret参数传入私钥文件：

docker build --secret id=ssh_private_key,src=~/.ssh/id_ed25519 .

额外注意 #

无论用哪种方法，都要记得给私钥文件设置600权限，否则SSH会拒绝使用该密钥：

RUN chmod 600 /home/$USER/.ssh/id_ed25519

内容的提问来源于stack exchange，提问作者Arafat Hasan