如何仅通过Dockerfile将Linux环境变量传入Docker镜像构建？

首先明确：仅通过Dockerfile本身无法直接读取主机的环境变量。Docker构建过程运行在隔离环境中，Docker守护进程不会主动加载主机的环境变量（除非是Docker自身的系统变量），所以你直接在Dockerfile里写ENV PASSWORD=$VAR，构建时$VAR会是空值——因为构建环境里不存在这个变量。

可行的实现方案（适配自动化需求） #

虽然不能完全脱离构建参数，但可以通过**构建参数（build-arg）**结合主机环境变量实现，既不需要硬编码，也能适配不同主机的凭据：

1. 修改Dockerfile，定义构建参数
   在Dockerfile开头声明构建参数，再将其转为环境变量（供构建过程使用）：

# 声明构建参数，对应主机的VAR变量
ARG VAR
# 将构建参数赋值给环境变量，供后续拉取包的命令使用
ENV PASSWORD=$VAR

# 示例：执行拉取私有仓库包的操作
RUN pip install --index-url https://your-private-repo.com/simple/ your-package

2. 主机环境下自动化构建
   主机上已经通过export VAR=[PASSWORD]设置了环境变量，只需在构建时通过--build-arg将该变量传递给Docker构建环境：

docker build --build-arg VAR=$VAR .

如果觉得每次输入构建命令麻烦，可以把这段命令封装成shell脚本（比如build.sh），一键执行：

#!/bin/bash
# 直接读取主机已export的VAR变量，执行构建
docker build --build-arg VAR=$VAR .

给脚本添加执行权限后，运行./build.sh即可完成构建，完全适配不同主机的凭据配置。

安全优化建议 #

如果凭据仅用于构建阶段拉取包，建议使用多阶段构建，避免将敏感凭据留在最终镜像中：

# 第一阶段：仅用于拉取依赖，临时包含凭据
ARG VAR
FROM python:3.11 as builder
ENV PASSWORD=$VAR
WORKDIR /app
# 使用凭据拉取私有仓库的依赖
RUN pip install --index-url https://user:$PASSWORD@your-private-repo.com/simple/ -r requirements.txt

# 第二阶段：构建最终镜像，不包含任何敏感信息
FROM python:3.11-slim
WORKDIR /app
# 从构建阶段复制已拉取的依赖
COPY --from=builder /usr/local/lib/python3.11/site-packages /usr/local/lib/python3.11/site-packages
COPY ./src ./src
# 启动应用
CMD ["python", "src/main.py"]

内容的提问来源于stack exchange，提问作者Aard