Dockerfile中PowerShell变量赋值及转换操作报错排查

本地执行以下PowerShell脚本可成功从外部仓库下载文件：

$user='XXXX'
$password='XXXXX'
$secpassword = ConvertTo-SecureString $password -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential($user,$secpassword)
$path = [Environment]::GetFolderPath("MyDocuments")
wget -Uri https://XXXX/file.zip -Credential $credential -Outfile "$path\temp.zip"

但将脚本整合到Dockerfile时，执行到ConvertTo-SecureString命令报错，出错的Dockerfile如下：

FROM mcr.microsoft.com/windows/servercore:ltsc2019
RUN echo -e hello from the image

##Powershell commands
RUN $USER='XX'
RUN $PASS='XX'
RUN $SECPASS = ConvertTo-SecureString $PASS -AsPlainText -Force ##ERROR

RUN echo -e after everything

• RUN指令的会话隔离问题：Docker中每个RUN指令会启动独立的进程会话，前一个RUN定义的变量（如$USER、$PASS）无法被后续RUN继承。第三个RUN执行时$PASS为空值，导致ConvertTo-SecureString因缺少必要参数报错。
• 默认Shell不匹配：Windows Server Core镜像的默认RUN shell是cmd.exe，而非PowerShell。直接写PowerShell语法的变量赋值会被cmd解析，变量根本不会被正确定义。
• 敏感信息硬编码风险：Dockerfile里明文写账号密码会被保留在镜像构建历史中，任何人都能通过docker history查看，存在严重安全隐患。

1. 合并PowerShell命令到单个RUN，并指定PowerShell执行 #

将所有PowerShell逻辑放到同一个RUN块中，通过powershell -Command指定用PowerShell解析命令：

FROM mcr.microsoft.com/windows/servercore:ltsc2019
RUN echo hello from the image

RUN powershell -Command "$user='XXXX'; $password='XXXXX'; $secpassword = ConvertTo-SecureString $password -AsPlainText -Force; $credential = New-Object System.Management.Automation.PSCredential($user,$secpassword); $path = [Environment]::GetFolderPath('MyDocuments'); Invoke-WebRequest -Uri 'https://XXXX/file.zip' -Credential $credential -OutFile '$path\temp.zip'"

注：建议用Invoke-WebRequest代替wget，wget是PowerShell中Invoke-WebRequest的别名，显式使用更清晰。

2. 安全传递敏感信息（推荐） #

使用Docker构建参数传递账号密码，避免硬编码到Dockerfile：

FROM mcr.microsoft.com/windows/servercore:ltsc2019
ARG USERNAME
ARG PASSWORD

RUN powershell -Command "$secpassword = ConvertTo-SecureString $env:PASSWORD -AsPlainText -Force; $credential = New-Object System.Management.Automation.PSCredential($env:USERNAME,$secpassword); $path = [Environment]::GetFolderPath('MyDocuments'); Invoke-WebRequest -Uri 'https://XXXX/file.zip' -Credential $credential -OutFile '$path\temp.zip'"

构建时通过--build-arg传入参数：

docker build --build-arg USERNAME=XXXX --build-arg PASSWORD=XXXXX -t my-image .

内容的提问来源于stack exchange，提问作者RCB