为什么docker login会明文存储密码，我是否需要采取相关处理措施？

这两个警告对应的安全风险需要处理，理由如下：

• 直接通过-p参数传递密码，密码会明文出现在进程命令列表、流水线执行日志中，若日志权限控制不当或进程信息被未授权用户访问，会直接导致ACR凭证泄露
• 明文存储在/root/.docker/config.json的密码，如果构建节点被入侵、或流水线执行环境复用未清理，凭证会被第三方获取，进而导致ACR内的镜像被篡改、窃取。

方案1：修复基础登录命令（适配所有CI环境） #

使用--password-stdin参数替代-p接收密码，同时构建完成后执行登出操作清除残留凭证，命令示例如下：

# 从流水线保密变量读取密码，通过管道传递给docker login
echo "$ACR_PASSWORD" | docker login <Docker Server> -u <Username> --password-stdin

# 镜像构建、推送等业务步骤
# ...

# 执行登出，清除config.json中的凭证信息
docker logout <Docker Server>

注意：ACR_PASSWORD需要存入流水线的保密变量/密钥管理模块，禁止硬编码在流水线配置中

方案2：使用Azure CLI登录（适配Azure生态场景） #

如果流水线环境已安装Azure CLI并完成Azure服务主体认证，可以直接使用ACR专属登录命令，自动获取临时访问令牌，不会产生明文密码相关风险：

az acr login --name <你的ACR实例名称>

该方式本质是使用临时令牌完成登录，令牌会在3小时后自动过期，即使出现泄露影响范围也远低于长期有效的账号密码。

方案3：长期运行构建节点的加密存储配置 #

如果使用自建的固定构建节点，可以配置Docker的加密凭据存储功能，避免凭证明文写入config.json：

• Linux环境可配置libsecret作为凭据存储后端
• Windows环境可配置系统自带的Credential Manager
• macOS环境可配置系统Keychain作为存储后端
  配置完成后所有Docker登录凭证都会加密存储，不会出现明文泄露问题。

方案4：使用云厂商内置CI任务 #

如果使用Azure DevOps等Azure官方CI工具，可以直接使用平台内置的Docker推送任务、ACR集成任务，平台会自动处理凭证的安全注入与清理，无需手动编写登录命令，也不会触发相关安全警告。

内容的提问来源于stack exchange，提问作者Jacobian2450