构建Docker Windows镜像时传递密钥的替代方案

针对你提到的Windows容器无法使用Linux BuildKit --secret 参数的问题，以下是几个安全且避免缓存失效的可行方案：

方案1：BuildKit临时Secret挂载（适配Windows容器） #

新版Docker Desktop for Windows已支持BuildKit的secret挂载功能，若你的环境兼容，可采用此方式：

1. Jenkins构建时，将Git凭据（格式username:password）写入临时文件，执行构建命令传递secret：

   echo "${JENKINS_GIT_USER}:${JENKINS_GIT_PASS}" > git_cred.txt
   docker buildx build --secret id=git_cred,src=./git_cred.txt -t windows-jenkins-agent .
   rm git_cred.txt
   

2. Windows容器的Dockerfile中，通过RUN --mount临时挂载secret，完成克隆后立即清理凭据：

   FROM mcr.microsoft.com/windows/servercore:ltsc2022
   
   # 安装Git（此步骤会被Docker缓存）
   RUN choco install git -y --no-progress
   
   # 克隆私有仓库，仅在构建阶段临时使用凭据
   RUN --mount=type=secret,id=git_cred \
       $cred = Get-Content C:\run\secrets\git_cred; \
       $credsplit = $cred.Split(':'); \
       $gitUrl = "https://$($credsplit[0]):$($credsplit[1])@your-private-repo.com/team/repo.git"; \
       git clone $gitUrl C:\agent-repo; \
       # 彻底清理临时凭据
       Remove-Item C:\run\secrets\git_cred -ErrorAction SilentlyContinue
   

   优势：凭据仅在RUN指令执行期间存在，不会写入镜像分层，基础镜像和Git安装步骤可稳定缓存。

方案2：Jenkins临时卷挂载传递凭据 #

若BuildKit secret不兼容你的Windows环境，可利用Jenkins工作目录挂载临时凭据文件：

1. Jenkins构建步骤中，生成临时凭据文件并挂载到构建容器：

   echo "${JENKINS_GIT_USER}:${JENKINS_GIT_PASS}" > temp_cred.txt
   docker build -t windows-jenkins-agent -v "${WORKSPACE}\temp_cred.txt:C:\temp\cred.txt" .
   rm temp_cred.txt
   

2. Dockerfile中仅在克隆阶段读取凭据，完成后立即删除：

   FROM mcr.microsoft.com/windows/servercore:ltsc2022
   
   RUN choco install git -y --no-progress
   
   # 克隆仓库并清理凭据
   RUN $cred = Get-Content C:\temp\cred.txt; \
       $credsplit = $cred.Split(':'); \
       git clone "https://$($credsplit[0]):$($credsplit[1])@your-private-repo.com/team/repo.git" C:\agent-repo; \
       Remove-Item C:\temp\cred.txt -Force
   

   注意：挂载的临时文件不会影响Docker缓存，基础步骤依然保留缓存，仅克隆步骤会在凭据变更时重新执行。

方案3：Git环境变量临时传递凭据 #

利用Git原生支持的GIT_USERNAME和GIT_PASSWORD环境变量，通过构建参数临时传递：

1. Jenkins构建时，通过--build-arg传递凭据（需确保Jenkins隐藏敏感参数，避免日志泄露）：

   docker buildx build --build-arg GIT_USER="${JENKINS_GIT_USER}" --build-arg GIT_PASS="${JENKINS_GIT_PASS}" -t windows-jenkins-agent .
   

2. Dockerfile中使用参数克隆仓库，完成后清理环境变量：

   FROM mcr.microsoft.com/windows/servercore:ltsc2022
   ARG GIT_USER
   ARG GIT_PASS
   
   RUN choco install git -y --no-progress
   
   RUN git clone "https://${GIT_USER}:${GIT_PASS}@your-private-repo.com/team/repo.git" C:\agent-repo; \
       # 移除环境变量，避免残留
       Remove-Item Env:GIT_USER; \
       Remove-Item Env:GIT_PASS
   

   优势：实现简单，无需额外文件操作，ARG参数不会被写入镜像，仅在构建阶段有效。

内容的提问来源于stack exchange，提问作者johnfo