Jenkins部署GKE：Docker镜像.env文件加密内容无法正常使用问题

问题根源 #

Jenkins通过credentials()获取的敏感变量会被系统自动掩码，直接在sh命令中引用该变量时，Jenkins会将变量内容替换为****后再执行shell，导致Docker构建参数收到的是掩码后的内容，而非实际凭据。同时，用build-arg传递敏感内容还存在镜像构建历史泄露的风险。

推荐解决方案（Docker 18.09+，安全优先） #

1. Jenkins流水线中写入临时凭据文件 #

将敏感凭据内容写入临时文件，避免直接在shell命令中暴露变量：

// 获取凭据
def CREDENTIALS_USERS_ENV = credentials('my-id')
// 将凭据内容写入临时文件
writeFile file: 'env_secret.tmp', text: CREDENTIALS_USERS_ENV
// 使用Docker Secret参数构建镜像
sh "docker build --secret id=env_secret,src=env_secret.tmp -t ${dockerTag} ."
// 构建完成后删除临时文件
sh "rm -f env_secret.tmp"

2. 修改Dockerfile读取Secret生成.env文件 #

使用RUN --mount=type=secret挂载临时文件，读取内容生成.env，且该Secret不会被写入镜像层：

# 挂载secret并生成.env文件
RUN --mount=type=secret,id=env_secret \
    cat /run/secrets/env_secret > .env

兼容旧版Docker的替代方案 #

如果你的Docker版本低于18.09，无法使用Secret功能，可以通过管道传递内容避免掩码：

1. Jenkins流水线命令 #

def CREDENTIALS_USERS_ENV = credentials('my-id')
// 通过管道将凭据内容传递给docker build的标准输入
sh "echo \"${CREDENTIALS_USERS_ENV}\" | docker build --build-arg ENV_FILE_CONTENT=- -t ${dockerTag} ."

2. 修改Dockerfile读取标准输入 #

ARG ENV_FILE_CONTENT
# 从标准输入读取内容（build-arg的值为-时表示读取stdin）
RUN echo "$ENV_FILE_CONTENT" > .env

关键注意事项 #

• 避免使用build-arg传递敏感内容：build-arg的内容会保留在镜像构建历史中，可通过docker history命令查看，存在泄露风险。
• 临时文件需及时清理：确保构建完成后删除包含敏感内容的临时文件，避免在Jenkins节点上留下泄露隐患。

内容的提问来源于stack exchange，提问作者Christian Hadzhikolev