Docker环境变量传递问题：GitHub Actions运行时应用无法获取Token

核心背景 #

GitHub Actions的运行环境和你本地树莓派的shell环境完全隔离，根本无法读取你本地.bashrc里的环境变量，所以转用GitHub Secret传递敏感信息是正确的方向，但你的Docker构建/运行命令存在两处关键错误：

错误1：Docker Run命令参数写法无效 #

你写的docker run -de MY_TOKEN是错误的：

• -d（后台运行）没问题，但-e参数的正确格式是-e KEY=VALUE；
• 只写MY_TOKEN时，Docker会尝试把宿主机（这里是GitHub Actions的临时runner机器）上的同名变量传给容器，但Actions runner上根本没有这个变量，最终容器内的MY_TOKEN会是空值。

错误2：敏感Token被不必要地打包进镜像 #

你当前的Dockerfile通过ARG转ENV的操作，会把Token直接写入镜像层中——镜像一旦泄露，Token就会暴露，这违反了容器安全的基本准则：敏感信息绝不应该打包进镜像。

正确做法 #

方案1：运行时直接注入Token（推荐）

这是处理敏感信息的标准方式，镜像不存敏感数据，仅在容器启动时传递：

1. 移除Dockerfile中的ARG MY_TOKEN和ENV MY_TOKEN=$MY_TOKEN配置，让应用直接读取容器内的环境变量；
2. 修改Actions中的命令：

# 构建镜像（无需传递build-arg）
docker build -t my_img ~/my_project
# 运行容器时直接从GitHub Secret注入环境变量
docker run -d -e MY_TOKEN=${{ secrets.MY_TOKEN }} --restart=always --name=my_container my_img

方案2：仅在构建阶段临时使用Token（若有需求）

如果你的应用在构建阶段必须用到Token（比如拉取私有依赖），可以保留ARG但绝不写入ENV：

# 仅在构建阶段声明ARG，用于临时操作
ARG MY_TOKEN
# 执行需要Token的构建步骤，例如：
# RUN npm install --registry=https://private-registry.com --token=$MY_TOKEN
# 构建完成后，不将MY_TOKEN转为ENV，避免留在镜像中

此时Actions的构建命令不变，但运行时无需再传递-e MY_TOKEN（构建阶段用完后Token不会留在镜像里）。

额外说明 #

• GitHub Actions的runner是临时环境，每次运行都是全新实例，本地树莓派的任何环境变量、配置文件都无法直接访问，必须通过GitHub Secrets/Variables传递；
• 敏感信息始终遵循运行时注入、不持久化到镜像的原则，这是容器安全的最佳实践。

内容的提问来源于stack exchange，提问作者zscrub