如何在Docker Build输出中隐藏包含密码的RUN命令

方案1：使用Docker构建秘密（--secret）（推荐） #

Docker 18.09及以上版本支持构建时使用秘密，不会将密码暴露在构建历史或日志中：

• 先创建一个仅包含密码的文件（比如password.txt），内容直接写你的密码即可
• 修改Dockerfile，通过RUN --mount=type=secret读取秘密：

ARG USERNAME
RUN --mount=type=secret,id=secret_password \
    curl -u "${USERNAME}:$(cat /run/secrets/secret_password)" [你的curl其他参数]

• 执行build命令时传递秘密和用户名参数：

docker build --build-arg USERNAME=你的用户名 --secret id=secret_password,src=password.txt .

方案2：临时环境变量+构建参数（适配旧版Docker） #

如果你的Docker版本低于18.09，可以用这种方式降低暴露风险（注意：构建参数仍会留在镜像历史中，不适合共享镜像的场景）：

• Dockerfile写法：

ARG USERNAME
ARG PASSWORD
RUN export AUTH="${USERNAME}:${PASSWORD}" && \
    curl -u "$AUTH" [你的curl其他参数] && \
    unset AUTH

• 执行build命令时传入参数：

docker build --build-arg USERNAME=你的用户名 --build-arg PASSWORD=你的密码 .

为什么输出重定向没用？ #

你用>/dev/null 2>&1仅隐藏了curl命令的输出内容，但Docker在执行RUN指令时，会把整个命令本身打印到构建日志，同时命令会被记录在镜像的构建历史中，所以密码依然会暴露。

内容的提问来源于stack exchange，提问作者Slates