Laravel Docker容器中.env文件安全引入最佳实践

在构建阶段从Secrets Manager拉取.env打包进镜像的做法属于典型的反模式：

• 所有拥有ECR镜像拉取权限的主体，都能从镜像层中提取到明文敏感凭证，即使你在后续镜像层删除.env文件，也可以通过分层文件系统恢复历史内容，安全风险极高
• 一旦凭证需要轮换，必须重新走完整构建、推送流程重新生成镜像，无法做到配置和镜像生命周期解耦
• 违背不可变镜像准则：同一份镜像无法在开发、预发、生产等多环境复用，必须为每个环境单独构建带对应配置的镜像

全程不需要在构建阶段接触任何生产环境敏感信息，所有配置在容器运行时注入，是AWS官方推荐的Laravel容器化部署方式。

1. 构建阶段彻底隔离敏感文件 #

• 在项目根目录的.dockerignore文件中加入以下规则，确保任何环境的.env文件都不会被复制进镜像层：

.env
.env.*
!.env.example

• 现有Dockerfile逻辑不需要做和.env相关的调整，仅保留系统依赖安装、PHP扩展配置、Apache配置、composer生产依赖安装（记得加--no-dev --optimize-autoloader参数）、项目代码复制这些环境无关的构建步骤即可。

2. 配置存储与权限配置 #

• 将Laravel运行所需的所有敏感配置（APP_KEY、数据库连接信息、Redis密码、第三方服务密钥等）按环境分类，存入AWS Secrets Manager，不需要拼成整份.env文件存储，单条配置对应一个密钥条目即可
• 给Fargate任务绑定的任务执行角色（Task Execution Role） 配置最小权限IAM策略，仅允许该角色拉取对应环境需要的Secrets Manager条目，GitLab Runner、ECR不需要配置任何生产敏感信息的访问权限。

3. ECS任务定义原生注入环境变量 #

Laravel的配置加载逻辑天然优先读取系统环境变量，只要容器运行时存在对应环境变量，即使项目根目录没有实体.env文件，框架也能正常读取所有配置，不需要额外修改代码。
在Fargate任务定义的容器配置段，通过secrets字段映射Secrets Manager中存储的敏感配置，非敏感的固定环境变量可以直接写在environment字段中，ECS启动任务时会自动拉取对应密钥值注入容器环境：

{
  "name": "laravel-apache",
  "image": "<你的ECR镜像地址>",
  "portMappings": [{"containerPort": 80}],
  "secrets": [
    {"name": "APP_KEY", "valueFrom": "arn:aws:secretsmanager:<region>:<account-id>:secret:prod/APP_KEY-xxxx"},
    {"name": "DB_PASSWORD", "valueFrom": "arn:aws:secretsmanager:<region>:<account-id>:secret:prod/DB_PASSWORD-xxxx"},
    {"name": "REDIS_PASSWORD", "valueFrom": "arn:aws:secretsmanager:<region>:<account-id>:secret:prod/REDIS_PASSWORD-xxxx"}
  ],
  "environment": [
    {"name": "APP_ENV", "value": "production"},
    {"name": "APP_DEBUG", "value": "false"},
    {"name": "LOG_CHANNEL", "value": "stderr"},
    {"name": "APP_URL", "value": "https://你的生产域名"}
  ]
}

4. 兼容场景：运行时动态生成.env文件 #

如果你的项目存在自定义脚本、第三方扩展强依赖读取项目根目录的实体.env文件，不识别系统环境变量，可以通过启动入口脚本在容器启动阶段动态生成.env文件，整个过程发生在容器运行时，不会写入镜像层：

1. 在项目目录下新建docker/entrypoint.sh启动脚本：

#!/bin/bash
set -e
cd /var/www/html

# 过滤Laravel相关环境变量写入运行时临时.env
printenv | grep -E "^(APP_|DB_|REDIS_|MAIL_|AWS_|QUEUE_|CACHE_|SESSION_)" > .env

# 执行生产环境优化（注意：数据库迁移建议单独执行一次性任务，不要放在入口脚本里避免多实例并发冲突）
php artisan config:cache
php artisan route:cache
php artisan view:cache

# 执行php:7.4-apache镜像原有启动逻辑
exec docker-php-entrypoint apache2-foreground

2. 给脚本添加可执行权限，在Dockerfile中添加以下配置替换默认入口：

COPY docker/entrypoint.sh /usr/local/bin/entrypoint.sh
RUN chmod +x /usr/local/bin/entrypoint.sh
ENTRYPOINT ["/usr/local/bin/entrypoint.sh"]

• 遵循不可变镜像原则：同一份镜像无需任何修改即可部署到所有环境，环境差异完全通过运行时注入的配置区分，不要为不同环境单独构建镜像
• 敏感信息零入镜：所有密钥、凭证永远不要出现在构建流程、镜像层、镜像仓库中，配置拉取权限仅授予运行时的任务角色，构建流程全程不接触生产敏感数据
• 优先使用云厂商原生能力：ECS原生的Secrets注入是托管能力，比自定义脚本拉取配置更安全、稳定性更高，原生支持密钥自动轮转，更新配置后仅需重启任务即可生效，无需重新构建镜像
• 生产环境务必开启配置缓存：执行php artisan config:cache后，Laravel会把所有配置编译成单个缓存文件，大幅提升框架加载速度，后续即使.env文件被删除也不会影响配置读取

内容的提问来源于stack exchange，提问作者Giacomo Torricelli