Docker Compose设置非字面量环境变量：Jenkins容器SSH密钥配置问题

我来帮你解决这个问题——你遇到的核心问题是docker-compose没有正确解析shell变量替换，而且直接用环境变量传SSH密钥还会有换行符失效的隐患。下面给你两种解决方案，优先推荐更安全可靠的挂载方式：

解决方案1：挂载SSH密钥文件到容器（强烈推荐） #

这种方法完全避免了环境变量的替换问题，也不会把密钥打包进镜像，是处理敏感密钥的标准做法：

修改你的docker-compose.yml，添加密钥文件的只读挂载：

services:
  jenkins:
    build: .
    volumes:
      - jenkins-data:/var/jenkins_home
      - ~/.ssh/id_rsa:/var/jenkins_home/.ssh/id_rsa:ro  # 只读挂载私有密钥
      - ~/.ssh/id_rsa.pub:/var/jenkins_home/.ssh/id_rsa.pub:ro  # 可选挂载公钥
    environment:
      - HOME=/var/jenkins_home  # 确保Jenkins识别到.ssh目录的位置
    ports:
      - "8080:8080"
      - "50000:50000"
volumes:
  jenkins-data:

接下来需要确保Jenkins用户有权读取密钥文件，你可以在Dockerfile中添加权限配置：

# 创建.ssh目录并设置正确权限
RUN mkdir -p /var/jenkins_home/.ssh && \
    chown -R jenkins:jenkins /var/jenkins_home/.ssh && \
    chmod 700 /var/jenkins_home/.ssh && \
    chmod 600 /var/jenkins_home/.ssh/id_rsa

如果只是临时测试，也可以启动容器后手动调整权限：

docker-compose exec jenkins bash
chown jenkins:jenkins /var/jenkins_home/.ssh/id_rsa
chmod 600 /var/jenkins_home/.ssh/id_rsa

这样Jenkins就能直接使用密钥访问Bitbucket私有仓库，密钥既不会暴露在镜像中，也不会有环境变量的解析问题。

解决方案2：让shell正确解析环境变量（不推荐，存在安全隐患） #

如果你一定要用环境变量传递密钥，需要确保执行docker-compose时，让本地shell先完成变量替换：

在Linux/macOS的bash/zsh环境下，直接通过命令行传递变量：

SSH_PRIVATE_KEY="$(cat ~/.ssh/id_rsa)" docker-compose up -d

或者创建一个.env文件（务必将该文件加入.gitignore，绝对不要提交到版本控制）：

SSH_PRIVATE_KEY="$(cat ~/.ssh/id_rsa)"

执行docker-compose up -d时，会自动加载.env中的变量。不过要注意：SSH密钥中的换行符在环境变量中会被截断，可能导致密钥失效，这也是为什么不推荐这种方法的原因。

你之前的写法失效，是因为docker-compose默认不会解析yml文件中的$(...)语法，只会把它当作字面量字符串处理，所以才会输出$(cat ~/.ssh/id_rsa)的内容。

额外注意事项 #

• 确认Bitbucket已经添加了该密钥的公钥，否则即使密钥在容器中也无法通过认证。
• 挂载密钥时使用:ro只读权限，避免容器内进程意外修改密钥。

内容的提问来源于stack exchange，提问作者xbfh0516