如何在azure/docker-login中通过Docker Secret传递GITHUB_TOKEN？

一、通过文件传递GITHUB_TOKEN给Docker Secret的实现方法 #

azure/docker-login@v1仅负责完成Azure容器注册表的登录操作，构建镜像的逻辑需要单独处理。要实现通过文件传递GITHUB_TOKEN，你可以在构建前通过run步骤先创建包含token的文件，再在镜像构建命令中用--secret参数引用该文件：

jobs:
  build-and-push:
    runs-on: ubuntu-latest
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4

      - name: 登录Azure容器注册表
        uses: azure/docker-login@v1
        with:
          login-server: 你的ACR登录服务器.azurecr.io
          username: ${{ secrets.AZURE_ACR_USERNAME }}
          password: ${{ secrets.AZURE_ACR_PASSWORD }}

      - name: 创建存储GITHUB_TOKEN的文件
        run: |
          echo "${{ secrets.GITHUB_TOKEN }}" > /tmp/github_token.txt

      - name: 带secret构建镜像
        run: |
          docker build --secret id=github_token,src=/tmp/github_token.txt -t 你的ACR登录服务器.azurecr.io/你的镜像名:latest .

      - name: 推送镜像到ACR
        run: |
          docker push 你的ACR登录服务器.azurecr.io/你的镜像名:latest

如果习惯用docker/build-push-action，也可以结合azure/docker-login使用，在构建步骤中直接指定secret文件路径：

- name: 创建存储GITHUB_TOKEN的文件
        run: |
          echo "${{ secrets.GITHUB_TOKEN }}" > /tmp/github_token.txt

      - name: 构建并推送镜像
        uses: docker/build-push-action@v5
        with:
          context: .
          push: true
          tags: 你的ACR登录服务器.azurecr.io/你的镜像名:latest
          secrets: |
            "github_token=/tmp/github_token.txt"

二、使用azure/docker-login保障镜像安全的要点 #

• 禁止硬编码凭据：将Azure容器注册表的用户名、密码（或服务主体密钥）全部存入GitHub Secrets，通过${{ secrets.XXX }}的方式引用，杜绝明文泄露风险。
• 使用最小权限主体：不要使用全局管理员权限的凭据，给服务主体仅分配AcrPush（推送镜像）或AcrPull（拉取镜像）这类必要权限，降低凭据泄露后的影响范围。
• 锁定Action版本：使用带明确版本号的azure/docker-login（如@v1），避免自动更新到未验证的新版本引发安全问题。
• 限制ACR网络访问：在Azure控制台开启容器注册表的网络限制，仅允许GitHub Actions的IP范围或指定虚拟网络访问，阻止未授权的镜像操作。
• 启用镜像安全校验：在ACR中开启镜像内容信任（签名功能），确保镜像未被篡改；同时开启漏洞扫描，及时发现镜像中的安全隐患。

内容的提问来源于stack exchange，提问作者Rodrigo