如何为两个服务的同名参数配置Docker Secrets？

当两个服务需要使用同名环境变量（如SERVICE_SECRET）但对应不同敏感值时，不能直接定义同名Secret，需要通过Secret别名映射的方式解决。具体配置步骤如下：

核心思路 #

给两个敏感值定义不同名称的Secret，然后在每个服务中通过target参数，将不同的Secret映射为容器内相同的文件名，再让应用通过这个文件名读取对应的值。

正确配置示例 #

version: '3.9'

services:
  service_1:
    image: image_A
    secrets:
      # 将service1_secret映射为容器内的SERVICE_SECRET文件
      - source: service1_secret
        target: SERVICE_SECRET
    environment:
      # 若应用支持_FILE后缀变量，直接指定文件路径（推荐）
      SERVICE_SECRET_FILE: /run/secrets/SERVICE_SECRET
      # 若应用不支持_FILE，用command覆盖启动流程：
      # command: sh -c 'export SERVICE_SECRET=$(cat /run/secrets/SERVICE_SECRET) && exec 你的应用启动命令'

  service_2:
    image: image_A
    secrets:
      # 将service2_secret映射为容器内的SERVICE_SECRET文件
      - source: service2_secret
        target: SERVICE_SECRET
    environment:
      SERVICE_SECRET_FILE: /run/secrets/SERVICE_SECRET
      # 同上，不支持_FILE时用command：
      # command: sh -c 'export SERVICE_SECRET=$(cat /run/secrets/SERVICE_SECRET) && exec 你的应用启动命令'

secrets:
  service1_secret:
    file: ./path/service_secret1.txt
  service2_secret:
    file: ./path/service_secret2.txt

配置说明 #

1. 定义不同名称的Secret：在secrets块中分别创建service1_secret和service2_secret，对应各自的敏感值文件。
2. 容器内别名映射：每个服务的secrets配置使用对象形式，source指向定义好的Secret名称，target设为SERVICE_SECRET。这样两个服务的容器内，/run/secrets/SERVICE_SECRET文件的内容会分别对应各自的敏感值。
3. 应用读取敏感值：
   • 大部分遵循12-factor规范的应用支持_FILE后缀的环境变量（比如数据库客户端、Spring Boot、Node.js框架等），设置SERVICE_SECRET_FILE=/run/secrets/SERVICE_SECRET后，应用会自动读取文件内容作为SERVICE_SECRET的实际值。
   • 如果应用不支持_FILE后缀，就需要通过command修改启动流程：先读取Secret文件内容赋值给SERVICE_SECRET，再执行原启动命令。使用exec是为了让应用进程成为容器的主进程，保证信号（比如停止信号）能正确传递。

注意事项 #

• 敏感值文件（service_secret1.txt、service_secret2.txt）中只能包含敏感值本身，不要添加多余的换行符，避免应用读取到无效值。
• Docker Secrets默认挂载路径是/run/secrets/，所以target指定的名称会直接生成在该目录下。

内容的提问来源于stack exchange，提问作者ArtRac