Docker多阶段构建：前阶段的构建参数与环境变量是否可被逆向获取？

问题背景 #

给出的多阶段构建Dockerfile：

FROM node:18.7-alpine AS deps
ARG SECRET_ARG
ENV SECRET_ARG_ENV_VAR=${SECRET_ARG}

FROM node:18.7-alpine AS final
RUN echo "Hello!"

执行的构建命令：

docker build --build-arg SECRET_ARG=$(cat secret.txt) -t my-container .

疑问与需求 #

1. 持有最终镜像my-container的人能否找到SECRET_ARG或SECRET_ARG_ENV_VAR的值？
2. 需要实现SECRET_ARG_ENV_VAR仅在deps构建阶段可用，在final阶段完全不可用且无法被逆向获取其值。

解答 #

关于秘密的可访问性 #

持有最终镜像的人无法获取到SECRET_ARG或SECRET_ARG_ENV_VAR的值。

Docker多阶段构建的核心逻辑是：只有最后指定的阶段（这里是final阶段）的文件系统层会被打包到最终镜像中。deps阶段的所有操作（包括ARG定义、ENV设置）都仅存在于该阶段的临时构建层中，不会被带入final镜像。你通过docker inspect、docker history只能看到final阶段的内容，也印证了这一点——这些工具无法读取到deps阶段的任何数据。

满足需求的优化方案 #

当前的写法已经基本满足需求，但可以进一步优化，消除潜在的风险：

• 若不需要在deps阶段的多个RUN命令中复用该变量，无需将ARG转为ENV持久化，直接在需要的RUN命令中临时传入即可，避免deps阶段的层中留下ENV的记录：

  FROM node:18.7-alpine AS deps
  ARG SECRET_ARG
  # 仅在当前RUN命令执行时将参数作为环境变量使用
  RUN SECRET_ARG_ENV_VAR=${SECRET_ARG} npm run build
  

• 如果你使用Docker Build Secret功能，也可以在deps阶段通过挂载秘密文件，在RUN命令中读取文件内容并临时设置为环境变量，同样不会留下痕迹：

  FROM node:18.7-alpine AS deps
  RUN --mount=type=secret,id=secret.txt \
      SECRET_ARG_ENV_VAR=$(cat /run/secrets/secret.txt) npm run build
  

  构建时使用命令：

  docker build --secret id=secret.txt,src=secret.txt -t my-container .
  

无论是哪种方式，只要确保秘密仅在deps阶段的临时操作中使用，不将其写入deps阶段的持久层，更不会传递到final阶段，就能保证最终镜像中完全没有秘密的痕迹。

内容的提问来源于stack exchange，提问作者ptf