如何将GitHub Secret作为环境变量注入Dockerfile的Maven settings.xml？

问题根源 #

你当前的写法错误在于：Docker Build Secret不是直接作为环境变量生效的，必须通过--mount=type=secret挂载后，从/run/secrets/<secret-id>文件中读取内容，而不是直接用${变量名}调用。另外Maven的settings.xml无法直接读取Docker的secret，需要把secret内容注入到环境变量或者直接替换配置文件中的占位符。

修正步骤 #

1. 调整Dockerfile读取Secret的逻辑

修改Dockerfile，正确挂载并读取secret，同时把PERSONAL_ACCESS_TOKEN注入到Maven可访问的环境中：

FROM maven:3-openjdk-17-slim as build

WORKDIR /app

COPY pom.xml settings.xml ./
COPY src ./src

# 测试读取IMAGEREGISTRY secret
RUN --mount=type=secret,id=IMAGEREGISTRY \
    IMAGEREGISTRY=$(cat /run/secrets/IMAGEREGISTRY) && \
    echo "imageRegistry: ${IMAGEREGISTRY}"

# 挂载PERSONAL_ACCESS_TOKEN并执行Maven构建
RUN --mount=type=secret,id=PERSONAL_ACCESS_TOKEN \
    export PERSONAL_ACCESS_TOKEN=$(cat /run/secrets/PERSONAL_ACCESS_TOKEN) && \
    mvn -s settings.xml clean install

2. 适配Maven settings.xml的变量读取

确保settings.xml中的占位符能被Maven识别为环境变量，需要把占位符改成Maven支持的环境变量格式：

<servers>
    <server>
        <id>github</id>
        <username>katlock</username>
        <password>${env.PERSONAL_ACCESS_TOKEN}</password>
    </server>
</servers>

3. 确认GitHub Action配置（现有配置无需改动）

- name: Build Docker image and push to ghcr.io registry
  id: docker_build
  uses: docker/build-push-action@v3
  with:
    context: .
    push: true
    tags: ghcr.io/katlock/myimage:latest
    secrets: |
      GIT_AUTH_TOKEN=${{ secrets.PERSONAL_ACCESS_TOKEN }}
      PERSONAL_ACCESS_TOKEN=${{ secrets.PERSONAL_ACCESS_TOKEN }}
      IMAGEREGISTRY=HelloMan

关键说明 #

• Docker的build secret挂载后会被放在/run/secrets/<secret-id>路径下，必须通过读取文件内容来获取值，不能直接当作环境变量使用。
• 在同一个RUN指令中挂载secret并赋值给环境变量，这样后续的Maven命令才能读取到这个变量；如果分成多个RUN指令，环境变量会因为容器层的隔离而丢失。
• Maven的${env.XXX}语法可以直接读取系统环境变量，这样就能获取到我们从secret中注入的PERSONAL_ACCESS_TOKEN。

内容的提问来源于stack exchange，提问作者Katlock