如何向Docker的RUN --mount传递构建参数作为uid参数值？

核心问题原因 #

Docker在解析Dockerfile的阶段就会处理--mount=type=secret的参数，而构建参数USER_ID是到构建阶段才会被代入的变量，因此直接在uid=$USER_ID中使用变量会触发解析错误。

方法1：通过用户名引用（推荐） #

Docker的Secret挂载支持用用户名代替数字UID，这样就能完全避免硬编码，步骤如下：

1. 在Dockerfile中基于构建参数创建指定UID的用户：

ARG USER_ID
# 创建带指定UID的用户（示例用户名为appuser，可自定义）
RUN useradd -m -u $USER_ID appuser

2. 挂载Secret时直接使用用户名：

RUN --mount=type=secret,id=key,uid=appuser \
    # 这里写需要访问secret的命令，比如读取secret到指定路径
    cat /run/secrets/key > /app/authorized_key && \
    # 确保文件后续归属正确
    chown appuser /app/authorized_key

Docker会自动将用户名解析为对应的UID，完美匹配你传入的USER_ID构建参数。

方法2：借助BuildKit的构建变量注入 #

如果必须直接使用UID数值，可通过BuildKit的特性（Docker 18.09+默认启用），将构建参数转换为Dockerfile能识别的格式：

1. 构建时启用BuildKit（如果未默认启用，执行export DOCKER_BUILDKIT=1）
2. 修改Dockerfile，通过ARG和shell命令间接传递UID：

ARG USER_ID
# 先将UID写入临时文件，再在挂载时读取
RUN echo "$USER_ID" > /tmp/target_uid && \
    --mount=type=secret,id=key,uid=$(cat /tmp/target_uid) \
    cat /run/secrets/key > /app/key

不过这种方式不如方法1简洁可靠，仅作为备选方案。

内容的提问来源于stack exchange，提问作者Zorgoth