如何在Dockerfile构建镜像过程中读取.env文件（AWS CDK使用场景）

因为你当前的构建流程等价于原生docker build，可以通过以下两种方式实现读取.env内容的需求：

方案1：使用构建参数（BUILD ARG，适用于非敏感配置） #

该方案是原生Docker支持的标准用法，操作步骤如下：

1. 先在CDK项目中安装dotenv依赖，用于读取本地.env文件内容
2. 在CDK定义镜像构建的逻辑中，将.env读取到的键值对传入构建参数
3. 在Dockerfile中声明对应ARG参数即可使用

代码示例 #

.env 文件示例

APP_VERSION=1.2.0
PUBLIC_API_HOST=https://xxx.example.com

CDK 配置示例（TypeScript）

import * as dotenv from 'dotenv';
import { DockerImageAsset } from 'aws-cdk-lib/aws-ecr-assets';

// 读取.env文件内容
const envConfig = dotenv.config({ path: '.env' }).parsed || {};
// 转换为CDK支持的buildArgs格式
const buildArgs = Object.fromEntries(
  Object.entries(envConfig).map(([k, v]) => [k, v])
);

// 定义镜像资产
const imageAsset = new DockerImageAsset(this, 'MyAppImage', {
  directory: './app',
  buildArgs: buildArgs
});

Dockerfile 示例

FROM node:18-alpine
# 声明构建参数，和.env中的键一一对应
ARG APP_VERSION
ARG PUBLIC_API_HOST

# 运行时需要使用变量的话，可通过ENV指令固化到镜像中
ENV APP_VERSION=$APP_VERSION
ENV PUBLIC_API_HOST=$PUBLIC_API_HOST

# 后续构建步骤可直接使用上述变量
RUN echo "构建版本为: $APP_VERSION"

方案2：使用BuildKit机密挂载（适用于敏感配置） #

如果.env中包含数据库密码、鉴权密钥等敏感数据，不要使用构建参数传递（构建参数会保存在镜像历史中可被追溯），推荐使用Docker BuildKit的机密挂载功能：

1. CDK中配置buildSecrets参数传入敏感值
2. Dockerfile中通过挂载机密的方式读取，不会在镜像层留下痕迹

代码示例 #

.env 敏感配置示例

NPM_TOKEN=xxx-xxxx-xxxx
DB_PASSWORD=xxxxxx

CDK 配置示例

import * as dotenv from 'dotenv';
import { DockerImageAsset } from 'aws-cdk-lib/aws-ecr-assets';

const envConfig = dotenv.config({ path: '.env' }).parsed || {};

const imageAsset = new DockerImageAsset(this, 'MyAppImage', {
  directory: './app',
  buildSecrets: {
    // 键为机密ID，值为.env中读取的敏感值
    'npm_token': envConfig.NPM_TOKEN,
    'db_password': envConfig.DB_PASSWORD
  }
});

Dockerfile 示例

FROM node:18-alpine
# 构建时挂载机密读取，不会留存到镜像层
RUN --mount=type=secret,id=npm_token \
    npm config set //registry.npmjs.org/:_authToken $(cat /run/secrets/npm_token) && \
    npm install

注意事项 #

• 仅需要在构建阶段使用的变量无需配置ENV指令，避免冗余写入镜像
• 读取.env时建议自行过滤注释行、空行，避免传入无效构建参数
• 所有敏感类配置必须使用机密挂载方案传递，禁止使用构建参数

内容的提问来源于stack exchange，提问作者agelosnm