GitHub Action中Docker构建复制gitignore忽略文件报错问题

报错触发原因非常明确：.env.production被加入了.gitignore规则，不会提交到Git仓库，GitHub Actions执行Checkout步骤拉取的代码中自然不存在这个文件，Docker构建执行COPY .env.production .env指令时找不到源文件直接终止流程。本地构建能成功是因为你的本地开发目录中留存了该文件，构建上下文可以正常读取到。
额外提醒：将包含敏感信息的配置文件通过COPY指令打包进Docker镜像本身存在安全风险，镜像一旦被非授权人员拉取，可直接从镜像层中提取所有明文敏感值。

1. 调整Dockerfile逻辑 #

首先移除Dockerfile中复制env文件的固定逻辑，避免将敏感配置固化到镜像层中。调整后的Dockerfile内容如下：

FROM node:16

WORKDIR /usr/src/app

COPY package.json ./
COPY yarn.lock ./

RUN yarn

COPY . .

RUN yarn build

ENV NODE_ENV production

EXPOSE 8080
CMD [ "node", "dist/index.js" ]
USER node

如果yarn build构建阶段必须读取环境变量，不要通过复制实体文件的方式传入，后续通过构建参数动态注入即可；如果仅在Node服务运行阶段需要环境变量，完全不需要在构建阶段处理env文件，在容器启动时注入变量是更安全的做法。

2. 配置GitHub Actions流水线 #

• 第一步：将本地.env.production的完整文本内容，存储为GitHub仓库的Secret。进入仓库的Settings -> Secrets and variables -> Actions页面，新建名为PROD_ENV_FILE的仓库密钥，值直接粘贴本地.env.production的全部内容即可。
• 第二步：修改deploy.yml中的镜像构建步骤，在执行docker build前，先从密钥中读取内容生成临时的.env.production文件，保证构建上下文可以找到该文件。修改后的步骤配置如下：

- name: Publish docker image
        run: |
          # 从GitHub Secret动态生成构建所需的.env.production临时文件
          echo "${{ secrets.PROD_ENV_FILE }}" > .env.production
          docker login --username ${{ secrets.DOCKER_USER }} --password '${{ secrets.DOCKER_PASSWORD }}'
          docker build -t ${{ secrets.DOCKER_USER }}/${{ secrets.DOCKER_REPOSITORY }}:1 .

你之前已经在工作流中配置了working-directory: ./server，上述步骤写入的.env.production文件会直接生成在server目录下，和Dockerfile处于同级路径，构建时可以正常读取。该临时文件仅存在于CI运行的临时环境中，不会被提交到代码仓库，也不会被固化到镜像层。

3. 可选安全加固 #

在./server目录下新建.dockerignore文件，加入以下规则，避免本地构建时误将env文件打包进镜像：

.env
.env.*
node_modules
dist
.git
.github

内容的提问来源于stack exchange，提问作者mcclosa