如何将GitHub Actions中的密钥作为环境变量传递给Docker镜像

你当前的配置存在的核心问题是：Dockerfile中通过RUN export定义的环境变量仅作用于当前RUN指令对应的shell进程，执行完该条指令后变量就会失效，后续构建步骤和最终运行的容器都无法获取该变量。根据你的使用场景可以选择以下对应方案：

场景1：密钥仅在构建阶段使用（比如拉取私有依赖、编译阶段鉴权等） #

不需要修改你现有的GitHub Actions配置（如果出现密钥解析失败，可尝试去掉secrets值外层的双引号即可），仅需要将所有依赖TOKEN的操作都合并到同一条带secret挂载的RUN指令中即可，示例如下：

RUN --mount=type=secret,id=TOKEN \
    # 先读取密钥到环境变量
    export TOKEN=$(cat /run/secrets/TOKEN) && \
    # 所有需要用到TOKEN的命令都写在同一个RUN块里
    git clone https://$TOKEN@github.com/your/private-repo.git && \
    # 操作完成后可清理敏感信息，避免残留到构建层
    unset TOKEN

该方式的优势是密钥不会留存到任何镜像构建层，安全性最高。

场景2：密钥需要在容器运行时使用 #

绝对不要将密钥硬编码到镜像中，所有写在镜像里的敏感信息都可以通过docker history等命令直接提取，会造成严重的泄露风险。正确的处理方式是在容器启动阶段注入密钥：

• 本地运行容器时通过-e参数传入：docker run -e TOKEN=你的密钥 你的镜像名
• 部署到云平台/容器编排平台时，使用平台提供的密钥管理组件（如K8s Secret、云厂商密钥管理服务）在容器启动时注入环境变量

如果你是临时测试需要把密钥内置到镜像中（仅测试使用，禁止用于生产或公共镜像），可以用ARG+ENV的方式传递：

1. 修改Dockerfile：

# 定义构建参数接收密钥
ARG TOKEN
# 将构建参数赋值给环境变量，容器运行时可读取
ENV TOKEN=$TOKEN

2. 修改GitHub Actions的build-push-action配置，新增build-args参数：

- name: Build and push
  id: docker_build
  uses: docker/build-push-action@v2
  with:
    context: .
    file: ./Dockerfile
    platforms: linux/amd64
    push: true
    tags: ${{ secrets.DOCKER_LOGIN}}/${{ secrets.DOCKER_NAME }}:latest
    build-args: |
      TOKEN=${{ secrets.TOKEN_DEV }}

注意：该方式会将密钥明文保留在镜像构建历史中，风险极高，仅可用于临时测试场景

内容的提问来源于stack exchange，提问作者Ramil Kuvatov