如何在GCP Cloud Build中将NPM令牌传入Docker构建参数？

你的问题出在Docker构建参数的写法上——--build-arg NPM_TOKEN= < npm-token.txt里的<是Shell的重定向语法，但Cloud Build直接传递这个参数给Docker时，Shell不会解析这个语法，导致NPM_TOKEN并没有读取到文件里的内容，而是被设置成了无效的字符串。

这里有两种可靠的解决方法：

方法一：用Shell包裹Docker命令读取文件内容 #

修改你的cloudbuild.yaml中的Docker构建步骤，通过bash来执行命令，这样就能用Shell语法读取令牌文件的内容：

---
steps:
- name: gcr.io/cloud-builders/gcloud
  entrypoint: 'bash'
  args: [ '-c', 'gcloud secrets versions access latest --secret=my-npm-token > npm-token.txt' ]
- name: gcr.io/cloud-builders/docker
  entrypoint: 'bash'
  args:
  - '-c'
  - 'docker build -t gcr.io/my-project/my-program . --build-arg NPM_TOKEN=$(cat npm-token.txt) --no-cache'

这里用$(cat npm-token.txt)直接读取文件内容并作为构建参数的值传递，Shell会解析这个命令替换，把令牌正确传入Docker构建。

方法二：直接用Cloud Build的Secret Manager集成（更推荐） #

这种方法不需要创建中间的npm-token.txt文件，直接将Secret注入环境变量，再传递给Docker构建参数，安全性更高：

---
steps:
- name: gcr.io/cloud-builders/docker
  args:
  - build
  - "-t"
  - gcr.io/my-project/my-program
  - "."
  - "--build-arg NPM_TOKEN=${_NPM_TOKEN}"
  - "--no-cache"
  # 声明要使用的环境变量
  secretEnv: ['_NPM_TOKEN']
# 配置Secret Manager的引用
availableSecrets:
  secretManager:
  - versionName: projects/my-project/secrets/my-npm-token/versions/latest
    env: '_NPM_TOKEN'

这个方案直接从Secret Manager获取最新版本的令牌，注入到_NPM_TOKEN环境变量中，然后Docker构建参数通过${_NPM_TOKEN}引用这个环境变量，完全避免了文件操作的问题。

你的Dockerfile本身没有问题，因为你已经验证过直接传递令牌可以正常工作，只要构建参数能正确传入值，就能正常安装私有NPM包了。

内容的提问来源于stack exchange，提问作者toljoas