需提交至代码仓库的Dockerfile是否应存储环境变量？

提交到代码仓库的Dockerfile不应该存储敏感、随环境变化的环境变量实际值，这和dotenv官方要求不提交.env文件的最佳实践逻辑完全一致。

为什么不建议在提交的Dockerfile中写入环境变量值 #

• 存在严重安全隐患：数据库密码、API密钥、第三方服务凭据这类敏感信息一旦写入Dockerfile提交到版本库，哪怕后续删除提交记录，Git历史中也会永久留存这些内容，极易造成凭据泄露。
• 破坏容器环境通用性：开发、测试、生产环境的配置本身就存在差异，把配置值硬编码在Dockerfile中会导致镜像只能适配单一环境，完全违背容器“一次构建、多环境部署”的设计原则，换环境就必须重新修改Dockerfile、重新构建镜像，维护成本极高。

注意：Dockerfile的ENV指令不是完全不能用，所有部署环境通用、无敏感信息的默认配置完全可以写在Dockerfile里提交，比如ENV APP_PORT=8080、ENV NODE_ENV=production这类全局统一的非敏感配置，不会有任何问题。

本地测试镜像的环境变量配置方案 #

你完全不需要在本地系统全局反复设置/回滚环境变量，也不用把配置硬编码进Dockerfile，两种无侵入方案就可以解决问题：

• 方案1：本地维护独立的测试用.env文件，将该文件加入.gitignore规则保证不会被提交到仓库，运行容器时直接加载该文件即可，和你日常使用dotenv的操作习惯完全一致：

docker run --env-file ./.env 你的镜像标签

• 方案2：如果只是临时调试、需要传入的变量数量少，可以直接在启动命令中用-e参数传入变量，不需要提前做任何全局配置：

docker run -e DEBUG=true -e DB_CONN=localhost 你的镜像标签

内容的提问来源于stack exchange，提问作者AskYous