Docker容器Shell脚本中如何隐藏pressly/goose命令的密码仅显示输出？

以下几种方法可以解决Docker容器内Shell脚本中Goose命令敏感信息（如密码）暴露的问题：

• 使用环境变量传递连接参数
  Pressly/goose支持通过GOOSE_DBSTRING环境变量读取数据库连接字符串，这样命令行里不会直接出现密码：

# 设置环境变量（仅在当前Shell会话生效，不会暴露到控制台输出）
export GOOSE_DBSTRING="user=postgres password=postgres dbname=postgres sslmode=disable"
# 执行Goose命令，无需在命令里写连接字符串
goose postgres status

执行时控制台只会显示goose postgres status，Goose会自动读取环境变量中的连接信息，既满足功能需求，又避免密码暴露。

• 通过临时文件传递连接字符串
  把包含密码的连接字符串写入临时文件，再通过命令读取文件内容，避免命令行直接暴露敏感信息：

# 将连接字符串写入临时文件
echo 'user=postgres password=postgres dbname=postgres sslmode=disable' > /tmp/db_conn.tmp
# 读取临时文件内容作为Goose的连接参数
goose postgres "$(cat /tmp/db_conn.tmp)" status
# 用完临时文件后删除（可选，防止敏感信息残留）
rm -f /tmp/db_conn.tmp

• 过滤输出中的敏感内容
  如果Goose执行时会在日志中打印完整命令，可以通过管道过滤替换掉密码部分：

# 合并标准输出和错误输出，用sed替换密码为星号
goose postgres "user=postgres password=postgres dbname=postgres sslmode=disable" status 2>&1 | sed 's/password=[^ ]*/password=******/g'

这样控制台输出里的密码会被替换成password=******，既保留执行结果，又隐藏敏感信息。

内容的提问来源于stack exchange，提问作者Dinesh