新版Docker Compose构建阶段安全传递密钥的最优方案咨询

Docker Compose的构建阶段确实无法直接读取Swarm Secrets——因为Swarm Secrets是运行时专属特性，仅对Swarm集群中运行的服务生效，镜像构建过程并不属于Swarm运行环境，所以读取不到是正常的。

针对构建阶段安全传递密钥的需求，以下是几种可行的方案，按安全性优先级排序：

1. 使用Docker BuildKit临时机密挂载（推荐） #

Docker BuildKit提供了构建时临时挂载机密的能力，机密仅在指定构建步骤中存在，不会写入镜像层，也不会在主机磁盘或环境变量留下残留。

操作步骤： #

• 先确保开启BuildKit（临时生效可设置环境变量，永久生效可修改Docker配置）：

  export DOCKER_BUILDKIT=1
  

• 在docker-compose.yml中配置构建机密：

  services:
    your-service-name:
      build:
        context: .
        secrets:
          - my_secret
  secrets:
    my_secret:
      file: /dev/stdin  # 从标准输入读取机密
  

• 执行构建，通过管道传递机密（避免写入文件和bash历史）：

  read -sp "Enter your secret: " SECRET && echo "$SECRET" | docker compose build --no-cache
  

• 在Dockerfile中使用机密（用完可立即删除）：

  RUN --mount=type=secret,id=my_secret \
      cat /run/secrets/my_secret > /path/to/your/secret && \
      # 执行需要机密的操作（比如拉取私有依赖、配置认证等）
      rm /path/to/your/secret  # 可选，用完即删进一步降低风险
  

2. 临时文件+即时销毁 #

如果无法使用BuildKit，可以创建权限严格的临时文件，构建完成后立刻销毁，减少机密暴露时间：

操作步骤： #

• 创建仅当前用户可读的临时文件：

  read -sp "Enter your secret: " SECRET && echo "$SECRET" > /tmp/secret.tmp && chmod 600 /tmp/secret.tmp
  

• 在docker-compose.yml中通过构建参数传递临时文件路径：

  services:
    your-service-name:
      build:
        context: .
        args:
          SECRET_PATH: /tmp/secret.tmp
  

• Dockerfile中读取并删除临时文件：

  ARG SECRET_PATH
  RUN cat $SECRET_PATH > /path/to/your/secret && rm $SECRET_PATH
  

• 构建完成后彻底销毁临时文件：

  docker compose build --no-cache && shred -u /tmp/secret.tmp
  

3. 构建参数（仅低敏感场景） #

这种方式无需额外配置，但机密会被记录在镜像构建历史中（可通过docker history查看），仅适合低敏感场景：

操作步骤： #

• 直接通过构建参数传递机密（避免写入bash历史）：

  DOCKER_BUILDKIT=1 docker compose build --no-cache --build-arg MY_SECRET="$(read -sp "Enter your secret: "; echo "$REPLY")"
  

• Dockerfile中使用后清空变量：

  ARG MY_SECRET
  RUN echo "$MY_SECRET" > /path/to/your/secret && unset MY_SECRET
  

补充：关于docker secret create的小技巧 #

你提到的用管道传递输入避免bash历史的方法是正确的，另外也可以直接执行docker secret create my_secret -，然后输入机密内容，按Ctrl+D结束输入，同样不会将机密写入bash历史。

内容的提问来源于stack exchange，提问作者FuriousGeorge