Dockerfile中如何解析ENV变量的JSON对象并构造DSN环境变量

问题场景 #

我正在尝试在ECS上部署Ory Kratos。
官方文档给出的数据库迁移执行命令如下：

docker -e DSN="engine://username:password@host:port/dbname" run oryd/kratos:v0.10 migrate sql -e

当前为ECS任务编写的Dockerfile内容如下：

# syntax=docker/dockerfile:1

FROM oryd/kratos:v0.10

COPY kratos /kratos

CMD ["-c", "/kratos/kratos.yml", "migrate", "sql", "-e", "--yes"]

该镜像基于oryd/kratos:v0.10基础镜像构建，已将存放配置文件的kratos目录复制到镜像内，默认执行数据库迁移命令。
目前未完成DSN环境变量的构造逻辑：可以将AWS Secrets Manager中存储的数据库凭证直接注入ECS任务，但注入的凭证是字符串形式的JSON对象，包含engine、username、password、host、port、dbname六个属性，需要找到安全的方式拼接出符合要求的DSN值。

可行方案 #

方案1：自定义入口脚本解析（推荐，生产可用） #

官方oryd/kratos:v0.10镜像基于distroless基础环境制作，默认没有shell和JSON解析工具，需要通过多阶段构建引入必要依赖，在容器启动时完成凭证解析和DSN拼接，全程密钥不会写入镜像层，也不会暴露在进程列表中。

1. 修改Dockerfile，引入shell和jq工具，配置自定义入口点：

# syntax=docker/dockerfile:1
# 临时阶段拉取依赖工具
FROM busybox:1.36 AS tool_layer
FROM jq:latest AS jq_layer

FROM oryd/kratos:v0.10
# 拷贝shell和jq二进制到运行镜像
COPY --from=tool_layer /bin/sh /bin/sh
COPY --from=tool_layer /bin/busybox /bin/busybox
COPY --from=jq_layer /jq /usr/local/bin/jq
# 安装基础shell命令
RUN ["/bin/busybox", "--install", "/bin"]

COPY kratos /kratos
COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh

ENTRYPOINT ["/entrypoint.sh"]
CMD ["-c", "/kratos/kratos.yml", "migrate", "sql", "-e", "--yes"]

2. 编写entrypoint.sh启动脚本，逻辑为读取注入的JSON格式凭证、解析字段、拼接DSN后执行原有kratos命令：

#!/bin/sh
set -euo pipefail

# 读取ECS注入的凭证环境变量（假设凭证注入到DB_SECRET变量）
DB_ENGINE=$(printf '%s' "$DB_SECRET" | jq -r '.engine')
DB_USER=$(printf '%s' "$DB_SECRET" | jq -r '.username')
DB_PASS=$(printf '%s' "$DB_SECRET" | jq -r '.password')
DB_HOST=$(printf '%s' "$DB_SECRET" | jq -r '.host')
DB_PORT=$(printf '%s' "$DB_SECRET" | jq -r '.port')
DB_NAME=$(printf '%s' "$DB_SECRET" | jq -r '.dbname')

# 拼接DSN，密码含特殊字符时需额外做URL编码
export DSN="${DB_ENGINE}://${DB_USER}:${DB_PASS}@${DB_HOST}:${DB_PORT}/${DB_NAME}"

# 替换当前进程为kratos主进程，传递所有启动参数
exec /usr/bin/kratos "$@"

注意：如果数据库密码包含@、:、/、?这类URL保留字符，必须在脚本中对密码段做URL编码，否则会出现DSN解析错误，导致数据库连接失败。

方案2：Sidecar init容器构造（无需修改原有镜像） #

如果不想维护自定义Kratos镜像，可以使用ECS的Sidecar模式实现逻辑隔离：

• 新增一个轻量init容器，配置共享空卷，给该容器的任务角色分配对应Secrets Manager的只读权限
• init容器启动后拉取数据库凭证，解析拼接成DSN后，以KEY=VALUE格式写入共享卷的环境变量文件，随后退出
• 主Kratos容器启动时，直接从共享卷加载环境变量文件，读取DSN值后执行迁移命令
  该方案完全不需要改动官方Kratos镜像，凭证解析逻辑和业务容器解耦，适合镜像管理严格的场景。

安全规范 #

• 禁止将任何凭证写入Dockerfile或提交到代码仓库，所有敏感值必须在容器运行时通过ECS注入
• 禁止在启动脚本、应用日志中打印原始凭证或拼接后的DSN，避免日志泄露
• ECS任务角色的权限遵循最小化原则，仅授予对应密钥的secretsmanager:GetSecretValue权限，不要分配全量服务权限
• 生产环境建议开启ECS执行日志的加密，避免日志存储环节的泄露风险

内容的提问来源于stack exchange，提问作者alexedwardjones