GitHub Actions构建镜像时Dockerfile无法读取GitHub Secrets如何解决

Dockerfile中的ARG仅用于声明构建阶段可接收的参数占位符，不会自动读取外部环境变量或GitHub Secrets的存储值。你当前执行的docker build命令没有传入任何对应构建参数，导致NEXUS_USER和NEXUS_PASS在构建阶段为空值，pip配置命令执行失败。
需要额外注意：直接通过--build-arg传入敏感值存在明确安全风险，传入的明文值会被记录到镜像构建历史中，任何可拉取镜像的用户都能通过docker history命令读取到凭证内容，生产环境不建议使用该方式。

方案一：快速修复（仅用于临时验证，不推荐生产使用） #

修改工作流中的build步骤，执行docker build时通过--build-arg参数将GitHub Secrets中的值传入，Secrets需要通过GitHub Actions的上下文语法${{ secrets.XXX }}引用：

- name: build
  run: |
    docker build \
      -t ${GITHUB_REPO} \
      --build-arg NEXUS_USER=${{ secrets.NEXUS_USER }} \
      --build-arg NEXUS_PASS=${{ secrets.NEXUS_PASS }} \
      .

方案二：安全挂载实现（生产环境推荐） #

使用Docker BuildKit提供的secret挂载能力传入敏感信息，凭证不会被写入镜像层，也不会出现在构建历史中，是Docker官方推荐的敏感参数传递方式。

1. 首先修改Dockerfile，移除敏感参数对应的ARG声明，通过--mount=type=secret在执行命令时挂载临时凭证文件读取值：

FROM python:3.9.5

RUN pip install --upgrade pip

# 临时挂载secret文件读取凭证，执行完成后不会残留到镜像层
RUN --mount=type=secret,id=nexus_creds \
    NEXUS_USER=$(sed -n '1p' /run/secrets/nexus_creds) && \
    NEXUS_PASS=$(sed -n '2p' /run/secrets/nexus_creds) && \
    pip config set global.extra-index-url https://${NEXUS_USER}:${NEXUS_PASS}@<my nexus endpoint> && \
    pip config set global.trusted-host <my nexus endpoint>

COPY ./src/python /python-scripts

ENTRYPOINT [ "python", "/python-scripts/pipe.py" ]

2. 修改GitHub Actions工作流的build步骤，开启BuildKit支持，将Secrets内容写入临时文件作为secret源传入构建流程：

- name: build
  env:
    NEXUS_USER: ${{ secrets.NEXUS_USER }}
    NEXUS_PASS: ${{ secrets.NEXUS_PASS }}
  run: |
    # 开启Docker BuildKit
    export DOCKER_BUILDKIT=1
    # 将凭证写入临时文件，构建完成后立即删除
    echo -e "$NEXUS_USER\n$NEXUS_PASS" > ./.tmp_nexus_creds
    docker build \
      -t ${GITHUB_REPO} \
      --secret id=nexus_creds,src=./.tmp_nexus_creds \
      .
    rm -f ./.tmp_nexus_creds

• 自托管Runner需要安装18.09及以上版本的Docker，才能正常支持BuildKit的secret挂载能力
• 所有敏感凭证必须存储在GitHub Secrets中，禁止硬编码到Dockerfile、工作流配置或代码文件内
• 如果后续需要对接镜像仓库推送流程，可直接使用官方维护的docker/build-push-action完成构建，其内置的secret传参逻辑和方案二一致，无需手动处理临时文件

内容的提问来源于stack exchange，提问作者jrz