如何在Rails7应用的MRSK Docker构建过程中配置可用环境变量？

正确配置步骤 #

1. 确认deploy.yml配置（你的现有配置无需修改，只需验证）

builder.secrets负责传递密钥给Docker构建过程，env.secret是给运行时容器用的，两者分工明确：

env:
  secret:
    - GITLAB_TOKEN # 运行时容器使用的密钥，与构建过程无关
builder:
  secrets:
    - GITLAB_TOKEN # 传递给Docker构建的密钥
  args:
    RUBY_VERSION: 3.2.2
  multiarch: false

.env文件保持现有内容即可：

GITLAB_TOKEN='test'

2. 修正Dockerfile写法

你之前的核心错误是Docker的secret挂载仅在单个RUN指令的上下文内生效，分开写挂载和读取命令会导致后续RUN无法访问挂载的密钥。正确写法是将挂载与密钥使用逻辑放在同一条RUN命令中：

# 示例：用GITLAB_TOKEN执行私有Gem源的bundle安装
RUN --mount=type=secret,id=GITLAB_TOKEN \
    export GITLAB_TOKEN=$(cat /run/secrets/GITLAB_TOKEN) \
    && echo "$GITLAB_TOKEN" # 测试用，实际部署可删除此句
    && bundle install --without development test

# Yarn私有包源的适配写法
RUN --mount=type=secret,id=GITLAB_TOKEN \
    export GITLAB_TOKEN=$(cat /run/secrets/GITLAB_TOKEN) \
    && yarn install --production

原有写法无效的原因 #

• 直接RUN echo "$GITLAB_TOKEN"：MRSK的env.secret仅为运行时容器注入环境变量，不会传递给Docker构建过程，因此构建阶段该变量为空。
• 拆分RUN --mount与RUN cat：每个RUN指令对应独立的临时容器，secret挂载仅在当前RUN的容器中存在，下一个RUN启动新容器后挂载已失效，自然读不到密钥文件。

临时方案的弊端与正确方案的优势 #

你用builder.args的方式虽能生效，但存在明显问题：

1. 构建参数会被记录在docker history中，任何人拿到镜像都能提取密钥，完全失去保密作用。
2. ERB写法依赖Rails环境，无法适配非Rails项目。
3. 配置逻辑不简洁，违背MRSK设计中"安全传递密钥"的初衷。

而使用Docker secret挂载的方式：

• 密钥不会写入镜像，构建完成后自动清理，无泄露风险。
• 不依赖特定框架，通用所有Docker构建场景。
• 符合MRSK配置规范，保持代码整洁。

内容的提问来源于stack exchange，提问作者JoBalk