多阶段Dockerfile中创建/run/secrets软链接是否安全及token泄露风险？

现有配置 #

我的docker-compose.yml配置如下：

secrets:
  my_app_npmrc:
    file: "/some/path/.npmrc"

services:
  my-app-front:
    hostname: my-app-front
    build:
      context: "/some/path"
      dockerfile: "/some/path/Dockerfile"
      secrets:
        - my_app_npmrc

限制条件 #

• 不能用.yarnrc配合yarn --use-rc /run/secrets/my_app_someyarnrc，因为Yarn不会合并该配置与NPM包配置（已调试1小时确认）
• 必须使用Yarn，且无法升级到Yarn 2

问题场景 #

使用.npmrc文件能正常工作，但Yarn不支持通过--use-npmrc指定/run/secrets中的路径。最终构建产物会复制到另一个Docker阶段。我编写了如下Dockerfile：

FROM ${BUILDER_IMAGE} as builder

RUN ln -s /run/secrets/my_app_npmrc .npmrc

RUN --mount=type=secret,id=my_app_npmrc yarn install \
    --frozen-lockfile \

COPY src src
RUN yarn build

FROM ${RUNNER_IMAGE}
WORKDIR /app
COPY --from=builder --chown=nobody:root /app/dist ./
COPY ./docker/nginx.conf /etc/nginx/nginx.conf

疑问 #

1. 在多阶段Dockerfile的第一阶段创建指向/run/secrets/my_app_npmrc的软链接是否安全？
2. 是否可能从Docker容器或镜像中检索到.npmrc里的token？

1. 第一阶段创建软链接是否安全？ #

安全，核心原因如下：

• Docker构建时的--mount=type=secret仅在对应的RUN指令执行期间挂载secret，指令执行完成后secret会被立即移除。你创建软链接的RUN ln -s...指令在挂载secret的RUN yarn install之前执行，此时/run/secrets/my_app_npmrc并不存在，所以这个软链接是无效的空链接，不会包含任何敏感数据。
• 即使后续挂载了secret，软链接只是指向secret的路径，本身不存储secret内容。当挂载的secret被移除后，软链接又会变回无效状态，不会留在builder镜像中。
• 多阶段构建的builder阶段不会被包含在最终的runner镜像里，哪怕软链接存在，也不会被带到生产镜像中。

可以优化Dockerfile，把创建软链接、安装依赖、删除软链接放在同一个RUN指令里，进一步降低风险：

RUN --mount=type=secret,id=my_app_npmrc \
    ln -s /run/secrets/my_app_npmrc .npmrc && \
    yarn install --frozen-lockfile && \
    rm .npmrc

这样软链接仅在yarn install期间存在，执行完就被删除，不会留下任何痕迹。

2. 是否能从容器或镜像中检索到token？ #

不会，理由如下：

• builder镜像：--mount=type=secret的secret不会被写入builder镜像的层中，安装完成后secret就被清理。软链接不存储内容，builder镜像里完全没有token。
• 最终runner镜像：你只复制了builder阶段的/app/dist目录（构建产物），该目录不包含.npmrc（不管是软链接还是原文件），所以runner镜像里没有任何敏感信息。
• 运行中的容器：最终容器基于runner镜像启动，镜像本身无token相关内容，自然无法检索到。

内容的提问来源于stack exchange，提问作者lud