Devcontainer中Docker BuildKit Secrets传递失败问题咨询

问题场景 #

在Dev Container环境中尝试将Azure个人访问令牌（PAT）通过--secret标志传递给Docker构建时，偶发失败。相关配置如下：

devcontainer.json 配置 #

"initializeCommand": "DOCKER_BUILDKIT=1 SECRET_TOKEN=$AZURE_ARTIFACT_TOKEN docker build --secret id=SECRET_TOKEN ."

已确认$AZURE_ARTIFACT_TOKEN在本地.bashrc中定义。

Dockerfile 相关代码 #

RUN --mount=type=secret,id=SECRET_TOKEN \
 SECRET_TOKEN=$(cat /run/secrets/SECRET_TOKEN) &&\
 echo $SECRET_TOKEN | az devops login --organization https://dev.azure.com/***** &&\
 az artifacts universal download --organization "https://dev.azure.com/*****/" --feed "thirdparty" --name "****" --version "0.2.1" --path ~/perception

错误现象 #

镜像构建偶尔成功，但Dev Container初始化步骤有时会失败，报错：

cat: /run/secrets/SECRET_TOKEN: No such file or directory

关键说明：直接在终端执行initializeCommand中的命令时，容器构建完全正常，仅在Dev Container流程中偶发问题。曾重装VS Code暂时解决，但无代码改动情况下问题复发。

问题根源分析 #

1. 环境变量加载时机问题：Dev Container的initializeCommand默认以非交互式shell执行，而.bashrc仅在交互式shell中加载，导致$AZURE_ARTIFACT_TOKEN未被正确注入，进而Docker构建时未传递有效密钥。
2. BuildKit状态残留：偶发成功可能是因为之前的会话中环境变量已加载，或BuildKit缓存了有效状态，但后续会话环境变量未正确注入时就会触发失败。

正确配置方式 #

方式1：确保环境变量在非交互式shell中可用 #

将AZURE_ARTIFACT_TOKEN从.bashrc移至.profile或.bash_profile（这类文件在非交互式登录shell中会加载），或在initializeCommand中显式加载环境变量：

"initializeCommand": "source ~/.bashrc && DOCKER_BUILDKIT=1 SECRET_TOKEN=$AZURE_ARTIFACT_TOKEN docker build --secret id=SECRET_TOKEN ."

方式2：使用Dev Container原生secrets配置（推荐） #

Dev Container支持直接配置密钥，无需手动在构建命令中传递，更可靠且符合规范：

1. 在devcontainer.json中添加secrets配置：

"secrets": {
  "AZURE_ARTIFACT_TOKEN": "${localEnv:AZURE_ARTIFACT_TOKEN}"
}

2. 修改Dockerfile，使用Dev Container注入的密钥：

RUN --mount=type=secret,id=AZURE_ARTIFACT_TOKEN \
 SECRET_TOKEN=$(cat /run/secrets/AZURE_ARTIFACT_TOKEN) &&\
 echo $SECRET_TOKEN | az devops login --organization https://dev.azure.com/***** &&\
 az artifacts universal download --organization "https://dev.azure.com/*****/" --feed "thirdparty" --name "****" --version "0.2.1" --path ~/perception

3. 确保本地环境中AZURE_ARTIFACT_TOKEN已设置（可通过export AZURE_ARTIFACT_TOKEN=your_token临时设置，或写入.profile永久生效）。

方式3：显式传递密钥到Docker构建 #

避免依赖shell环境变量，直接通过Docker命令的env参数传递密钥：

"initializeCommand": "DOCKER_BUILDKIT=1 docker build --secret id=SECRET_TOKEN,env=AZURE_ARTIFACT_TOKEN ."

此方式会直接从当前环境变量读取AZURE_ARTIFACT_TOKEN并传递给Docker，无需手动赋值SECRET_TOKEN变量。

额外注意事项 #

• 全局启用Docker BuildKit：在/etc/docker/daemon.json中添加{"features": {"buildkit": true}}，重启Docker生效，避免因BuildKit未启用导致密钥挂载失败。
• 清理BuildKit缓存：执行docker builder prune，清除残留的无效缓存，避免偶发状态问题。

内容的提问来源于stack exchange，提问作者dvrm