Docker备份是否包含.env文件中的环境变量？

核心结论 #

本地.env文件本身不会被自动打包进镜像、容器备份或卷备份中，但环境变量值是否会泄露，取决于你的注入方式和备份对象：

• 运行时注入的场景（90%以上docker-compose使用.env的常规场景）：
  即你在docker-compose.yml中通过environment字段读取.env值，或者通过env_file字段直接指定加载.env文件的场景：
  • 如果你备份的是docker save导出的预构建镜像：运行时环境变量仅存在于容器启动后的进程环境中，不会写入镜像层，备份镜像中不包含你的本地.env值，同事拿到镜像后自行配置.env即可正常启动，不会泄露你的私密密钥。
  • 如果你备份的是docker export导出的运行中容器快照：容器的配置元数据会保留运行时的环境变量值，这种场景下会泄露你的本地.env配置，不推荐用这种方式共享预构建环境。
• 构建时注入的场景：
  即你在Dockerfile中通过ARG接收构建参数，再在docker-compose.yml的build.args字段读取.env值传入构建流程的场景：如果这些变量被你通过ENV指令持久化到镜像层，或者在构建过程中被写入到镜像内的配置文件、缓存文件中，那么这些值会跟着导出的镜像一起泄露。

100%确认无泄露的验证方法 #

你可以在上传备份前自行执行以下检查，只要搜不到你的私密配置值即可完全放心：

检查镜像是否包含敏感值 #

# 导出镜像为tar压缩包
docker save <你的镜像名称:镜像标签> -o image_backup.tar
# 解压并全局搜索敏感密钥片段
mkdir temp_img && tar -xf image_backup.tar -C temp_img
grep -ri "你的私密API密钥的部分片段" temp_img/

检查卷备份是否包含敏感值 #

# 将待备份的卷挂载到临时容器中全局搜索
docker run --rm -v <你的卷名称>:/check_vol alpine grep -ri "你的私密API密钥的部分片段" /check_vol

内容的提问来源于stack exchange，提问作者Bosone