Docker Compose中Secrets无法加载DEBUG环境变量求助

问题描述 #

在Windows命令提示符执行docker stack deploy -c docker-compose.yml default部署Swarm服务后，DEBUG环境变量始终被设置为字符串/run/secrets/debug，而非对应Secret的实际值。容器内/run/secrets/debug文件存在，执行cat /run/secrets/debug可获取正确值，但尝试DEBUG: cat /run/secrets/debug、DEBUG=$(cat /run/secrets/debug)等写法均无效。

当前使用的docker-compose.yml配置：

version: '3.9'
services:
  portfolio:
    image: kcisijohnny/portfolio
    build: portfolio
    ports:
      - '5000:5000'
    networks:
      - portfolio_network
    environment:
      DEBUG: /run/secrets/debug
    secrets:
      - debug
secrets:
  debug:
    external: true
    name: debug

原因说明 #

Docker Compose/Swarm的environment字段仅支持直接赋值字符串，不会解析或执行Shell命令（如cat、$(...)），因此直接写文件路径或命令只会被当作普通字符串赋值给环境变量。

解决方案 #

方案1：通过启动命令动态设置环境变量 #

修改docker-compose.yml的command字段，覆盖默认启动命令，先读取Secret文件内容赋值给DEBUG，再启动应用：

services:
  portfolio:
    # 保留原有配置
    command: >
      sh -c 'export DEBUG=$(cat /run/secrets/debug) && [你的应用启动命令]'

替换[你的应用启动命令]为实际启动指令，例如Python应用的python app.py，Node.js应用的node server.js等。

方案2：使用Entrypoint脚本预处理环境变量 #

1. 在项目根目录创建entrypoint.sh脚本：

#!/bin/sh
# 读取Secret内容并设置环境变量
export DEBUG=$(cat /run/secrets/debug)
# 执行原启动命令
exec "$@"

2. 修改Dockerfile，添加Entrypoint配置：

# 复制脚本到容器并赋予执行权限
COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh
# 设置Entrypoint，保留原CMD命令
ENTRYPOINT ["entrypoint.sh"]
CMD ["python", "app.py"] # 替换为你的应用默认启动命令

3. 重新构建镜像并部署服务。

方案3：修改应用代码直接读取Secret文件 #

如果应用支持，可直接在代码中读取/run/secrets/debug文件的内容，替代依赖环境变量的方式。例如Python代码：

with open('/run/secrets/debug', 'r') as f:
    debug_value = f.read().strip()
# 使用debug_value进行后续逻辑处理

内容的提问来源于stack exchange，提问作者rothweil.miklos