如何在Dockerfile中安全设置数据库密码 避免明文泄露风险

首先你需要先删除Dockerfile中明文设置POSTGRES_PASSWORD的行，修改后的Dockerfile参考如下：

FROM postgres:12
ENV POSTGRES_DB POSTGRESDB
ENV POSTGRES_USER postgres
COPY ./Scripts /docker-entrypoint-initdb.d/

根据你的使用场景，可以选择以下三种方案传入密码，均不会将密码暴露在Dockerfile中：

方案1：运行容器时动态传入环境变量（适合开发测试场景） #

执行docker run启动容器时，通过-e参数直接传入密码：

docker run -d -e POSTGRES_PASSWORD=你的实际密码 [其他启动参数] 你的镜像名称

注意：该方案下密码可以通过docker inspect命令查看容器信息获取，不建议用于生产环境

方案2：使用.env文件托管密码（适合本地开发、Docker Compose场景） #

1. 在项目根目录新建.env文件，写入密码配置：

   POSTGRES_PASSWORD=你的实际密码
   

2. 将.env文件加入.gitignore，避免意外提交到代码仓库泄露
3. 启动容器时指定加载.env文件：

   docker run -d --env-file .env [其他启动参数] 你的镜像名称
   

如果使用Docker Compose，可以直接在compose.yaml中配置env_file: .env字段自动加载。

方案3：使用Docker Secrets（适合生产环境） #

该方案为Docker官方提供的敏感信息托管方案，密码会加密存储，仅授权容器可以读取，不会在任何配置、命令输出中暴露明文：

1. 开启Swarm模式（单节点也可使用）：docker swarm init
2. 从本地密码文件创建Secret：docker secret create postgres_pw ./你的密码存储文件路径
3. 启动服务时挂载Secret，同时指定postgres从Secret文件读取密码：

   docker service create -d --secret postgres_pw -e POSTGRES_PASSWORD_FILE=/run/secrets/postgres_pw [其他参数] 你的镜像名称
   

内容的提问来源于stack exchange，提问作者user17507960