预构建Shopware 6 Docker容器中JWT密钥的生成与配置方案咨询

一、生成/提供JWT密钥的最佳方式 #

针对预构建后复制到Docker容器的场景，分两种场景给出方案：

1. 测试/临时环境：容器启动时动态生成 #

在容器的启动脚本（比如entrypoint.sh）中加入判断逻辑，仅在首次启动且无密钥时生成：

# 检查是否已存在JWT密钥文件或环境变量
if [ ! -f var/secrets/private.pem ] && [ -z "$SHOPWARE_JWT_PRIVATE_KEY" ]; then
    bin/console secrets:generate-keys
    bin/console system:generate-jwt-secret
fi

这种方式无需提前准备密钥，但密钥仅在当前容器生命周期内有效，重启后会丢失，只适合测试场景。

2. 生产环境：外部通过环境变量提供 #

这是无状态容器的最优解，完全脱离对var目录的依赖：

• 先在本地或密钥管理系统中生成JWT密钥对（可以用你提到的bin/console secrets:generate-keys和bin/console system:generate-jwt-secret命令生成，然后从var/secrets目录取出private.pem和public.pem的内容）
• 启动容器时，通过环境变量传入密钥内容：

  docker run -e SHOPWARE_JWT_PRIVATE_KEY="$(cat private.pem)" -e SHOPWARE_JWT_PUBLIC_KEY="$(cat public.pem)" your-shopware-image
  

  容器启动时会自动读取环境变量中的密钥，无需执行任何生成命令。

二、能否用环境变量存储以避免持久化var卷？ #

完全可以，这也是Shopware 6官方推荐的无状态部署方式：

• Shopware 6的配置系统会优先读取环境变量中的JWT密钥配置，忽略var/secrets目录下的本地文件
• 这种方式不需要挂载var持久化卷，容器完全无状态，更符合Docker的部署规范
• 密钥可以统一存储在外部密钥管理系统（比如Docker Secrets、K8s Secrets等），安全性和可维护性更高。

内容的提问来源于stack exchange，提问作者Alex