GitLab CI/CD中Python读取GPT密钥失败？如何正确访问CI/CD变量

你在CI脚本中export GPT_KEY=$GPT_API_KEY仅设置了Kaniko执行器进程的环境变量，但该变量不会自动传递到Docker镜像的构建流程或最终运行的容器环境中，这就是Python代码无法读取到密钥的核心原因。

方法一：构建时将密钥注入镜像（适用于镜像运行时必须依赖密钥的场景） #

1. 修改GitLab CI配置，传递构建参数给Kaniko #

在Kaniko执行命令中添加--build-arg参数，将CI变量传递到镜像构建流程：

build:
  stage: build
  image:
    name: gcr.io/kaniko-project/executor:v1.9.0-debug
    entrypoint: [""]
  script:
    - echo "{\"auths\":{\"$CI_REGISTRY\":{\"username\":\"$CI_REGISTRY_USER\",\"password\":\"$CI_REGISTRY_PASSWORD\"}}}" > /kaniko/.docker/config.json
    - /kaniko/executor
      --context "backend"
      --dockerfile "backend/Dockerfile"
      --destination "${CI_REGISTRY_IMAGE_NAME_BACKEND}:0.0.1"
      --destination "${CI_REGISTRY_IMAGE_NAME_BACKEND}:latest"
      --build-arg GPT_KEY=$GPT_API_KEY  # 新增：传递CI变量作为构建参数

2. 修改Dockerfile，将构建参数转为容器环境变量 #

在backend/Dockerfile中添加ARG和ENV指令，把构建参数转为容器运行时的环境变量：

# 接收Kaniko传递的构建参数
ARG GPT_KEY
# 将参数设置为容器运行时可读取的环境变量
ENV GPT_KEY=$GPT_KEY

# 原有Dockerfile指令（示例）
COPY . /app
WORKDIR /app
RUN pip install -r requirements.txt
CMD ["python", "main.py"]

完成以上修改后，构建出的镜像会包含GPT_KEY环境变量，Python代码通过os.environ.get('GPT_KEY')即可正常读取。

方法二：运行时传递密钥（更安全，避免密钥打包进镜像） #

如果不想将敏感密钥存储在镜像中，推荐在容器启动时从外部注入环境变量：

1. 保持现有CI配置不变（无需添加--build-arg） #

2. 部署容器时传入密钥 #

• 用Docker命令启动：

docker run -e GPT_KEY=$GPT_API_KEY ${CI_REGISTRY_IMAGE_NAME_BACKEND}:latest

• 用Kubernetes部署（通过Secret管理密钥）：

# 首先创建Secret存储密钥（GPT_API_KEY需先做Base64编码）
apiVersion: v1
kind: Secret
metadata:
  name: gpt-secret
type: Opaque
data:
  GPT_KEY: <base64编码后的GPT_API_KEY>
---
# 在Deployment中引用Secret作为环境变量
apiVersion: apps/v1
kind: Deployment
metadata:
  name: backend-app
spec:
  template:
    spec:
      containers:
      - name: backend
        image: ${CI_REGISTRY_IMAGE_NAME_BACKEND}:latest
        env:
        - name: GPT_KEY
          valueFrom:
            secretKeyRef:
              name: gpt-secret
              key: GPT_KEY

• 确保GitLab CI中的GPT_API_KEY变量设置为受保护/掩码状态（项目Settings > CI/CD > Variables），防止密钥泄露。
• 你的Python代码中load_dotenv()不会干扰环境变量读取，os.environ.get()会优先读取系统环境变量，仅当变量不存在时才从.env文件加载，符合你的需求。

内容的提问来源于stack exchange，提问作者AnnemarieWittig