Docker执行MySQL命令读取.env文件密码失效问题排查

你遇到的环境变量读取为空、MySQL鉴权失败问题，本质是Shell变量展开时机错误：

• 命令中直接写的$DB_PASSWORD会被宿主机当前运行的Shell优先解析替换，根本不会等到进入容器环境后再读取容器内的变量
• 如果你宿主机当前Shell会话没有定义DB_PASSWORD，替换后-p参数后就是空值，最终执行的MySQL命令相当于无密码登录，自然返回Access denied错误
• 你执行docker ... printenv能看到变量，是因为printenv直接读取容器内的环境变量列表，没有经过宿主机Shell的变量替换步骤，所以能正常展示。

方案1：容器内解析变量（适配你当前的--env-file写法） #

用单引号包裹容器内要执行的完整命令，阻止宿主机提前展开变量，让变量解析动作在容器内部完成：

docker exec --env-file=.env -i {image} bash -c 'mysql -uroot -p"$DB_PASSWORD" {database}' < location/of/file.sql

注意两个细节：

• bash -c后的命令块必须用单引号包裹，单引号会让宿主机Shell完全不解析内部的$变量，原样把字符串传入容器
• $DB_PASSWORD外层加双引号，避免密码包含特殊字符时命令解析出错

方案2：宿主机加载.env后执行（无需向容器传环境变量） #

不需要把.env文件传入容器，直接在宿主机侧读取密码拼接命令即可，写法更简洁：

# 加载.env文件中的变量到当前Shell
set -a && source .env && set +a
# 直接执行导入，变量在宿主机侧解析后传入容器
docker exec -i {image} mysql -uroot -p"$DB_PASSWORD" {database} < location/of/file.sql

方案3：配置文件传参（安全性最高） #

命令行传参会让密码暴露在进程列表中，可被同机其他用户通过ps命令查看，对安全要求高的场景可以用MySQL的额外配置文件传参：

docker exec --env-file=.env -i {image} bash -c 'mysql --defaults-extra-file=<(printf "[client]\nuser=root\npassword=%s" "$DB_PASSWORD") {database}' < location/of/file.sql

你之前尝试bash -c没有生效，大概率是用了双引号包裹命令内容。双引号包裹的字符串中，$DB_PASSWORD依然会被宿主机Shell提前展开为空，等于没有传参：

• 错误写法（双引号，宿主机提前展开）：docker exec ... bash -c "echo $DB_PASSWORD" → 输出空行
• 正确写法（单引号，容器内展开）：docker exec ... bash -c 'echo $DB_PASSWORD' → 正常输出.env中配置的密码

内容的提问来源于stack exchange，提问作者Jonatas Amaral