如何在VS Code开发容器中通过提示输入敏感环境变量？

方案1：将敏感变量写入容器的Shell配置文件 #

在devcontainer.json中配置postCreateCommand，提示用户输入敏感变量并追加到容器用户的Shell配置文件（比如~/.bashrc或~/.zshrc），这样每次打开容器内的Shell都会自动加载该变量：

{
  "postCreateCommand": "read -p '请输入敏感变量SENSITIVE_KEY的值: ' SENSITIVE_KEY && echo 'export SENSITIVE_KEY='$SENSITIVE_KEY >> ~/.bashrc"
}

如果容器使用Zsh，只需把~/.bashrc换成~/.zshrc即可。容器创建完成后，重新打开容器内的终端，变量就会生效。

方案2：写入系统级环境变量文件（全局生效） #

如果需要变量对容器内所有用户和进程生效，可将变量写入/etc/environment（需要sudo权限）：

{
  "postCreateCommand": "read -p '请输入全局敏感变量API_TOKEN的值: ' API_TOKEN && echo 'API_TOKEN='$API_TOKEN | sudo tee -a /etc/environment"
}

这种方式下，变量会被系统的PAM模块加载，所有登录会话和服务进程都能读取到。需要注意的是，修改后可能需要重启容器或重新登录才能完全生效。

方案3：结合VS Code任务手动触发变量设置 #

如果希望更灵活地控制变量设置时机，可在工作区的.vscode/tasks.json中定义一个任务：

{
  "version": "2.0.0",
  "tasks": [
    {
      "label": "设置敏感变量",
      "type": "shell",
      "command": "read -p '请输入DB_PASSWORD的值: ' DB_PASSWORD && echo 'export DB_PASSWORD='$DB_PASSWORD >> ~/.bashrc",
      "problemMatcher": [],
      "runOptions": {
        "runOn": "folderOpen"
      }
    }
  ]
}

配置"runOn": "folderOpen"后，每次打开工作区时任务会自动运行，提示用户输入变量。也可以通过命令面板（Ctrl+Shift+P）执行Tasks: Run Task手动触发。

为什么直接在postCreateCommand中export无效？ #

postCreateCommand是在一个独立的Shell会话中执行的，会话结束后该会话内的环境变量会被销毁，无法被后续打开的Shell会话继承。只有将变量写入Shell配置文件或系统环境变量文件，才能实现持久化和全局可用。

内容的提问来源于stack exchange，提问作者aljabadi