如何在requirements.txt使用GITHUB_TOKEN且避免其暴露于Docker镜像元数据？

方案1：使用多阶段构建（推荐） #

多阶段构建的核心是将依赖安装过程放在临时构建阶段，最终镜像只保留运行时需要的文件，完全隔离构建过程中的敏感命令。

示例Dockerfile：

# 第一阶段：构建依赖
FROM python:3.11-slim AS builder
ARG GITHUB_TOKEN
ENV GITHUB_TOKEN=${GITHUB_TOKEN}
COPY requirements.txt .
# 将依赖安装到用户目录，方便后续复制
RUN pip install --user -r requirements.txt

# 第二阶段：最终运行镜像
FROM python:3.11-slim
# 从构建阶段复制已安装的依赖到运行环境
COPY --from=builder /root/.local/lib/python3.11/site-packages /usr/local/lib/python3.11/site-packages
COPY app/ .
CMD ["python", "app.py"]

构建命令：

docker build --build-arg GITHUB_TOKEN=your_token .

原理：最终镜像的元数据仅记录第二阶段的命令，第一阶段包含token的pip install操作不会被写入最终镜像的ContainerConfig，彻底避免凭证泄露。

方案2：使用Docker BuildKit的秘密管理 #

Docker BuildKit支持通过--secret参数传递敏感数据，不会将敏感信息暴露在构建命令或镜像元数据中。

首先开启BuildKit：

export DOCKER_BUILDKIT=1

修改Dockerfile：

FROM python:3.11-slim
COPY requirements.txt .
# 挂载秘密文件，读取token后执行安装
RUN --mount=type=secret,id=github_token \
    GITHUB_TOKEN=$(cat /run/secrets/github_token) \
    pip install -r requirements.txt
COPY app/ .
CMD ["python", "app.py"]

调整requirements.txt，移除占位符：

git+https://@github.com/MY_ACCOUNT/MY_REPO.git

构建命令：

docker build --secret id=github_token,env=GITHUB_TOKEN .

原理：BuildKit会将秘密临时挂载到容器内，构建过程中不会明文记录token，构建完成后秘密自动销毁，不会遗留到镜像或构建历史中。

方案3：临时替换并清理requirements.txt（不推荐，仅作备选） #

如果无法使用前两种方案，可以在安装后立即清理包含token的痕迹，但这种方法风险较高，构建历史仍可能残留敏感信息。

示例Dockerfile：

FROM python:3.11-slim
ARG GITHUB_TOKEN
COPY requirements.txt .
# 替换占位符为实际token，安装后恢复原始文件
RUN sed -i "s/\${GITHUB_TOKEN}/${GITHUB_TOKEN}/g" requirements.txt && \
    pip install -r requirements.txt && \
    sed -i "s/${GITHUB_TOKEN}/\${GITHUB_TOKEN}/g" requirements.txt
COPY app/ .
CMD ["python", "app.py"]

注意：该方法仅恢复了镜像内的requirements.txt，但docker history仍能看到包含token的构建命令，安全性远低于前两种方案。

内容的提问来源于stack exchange，提问作者user3595632