使用Docker Compose时如何读取外部Secret？

你已经走对了核心流程，我来帮你梳理细节并验证整个过程，确保外部Secret能正确传递给你的服务：

1. 先搞定Swarm模式（必做前提） #

docker secret create是Docker Swarm模式专属的命令，所以哪怕你是单节点运行，也得先初始化Swarm：

docker swarm init

如果是多节点环境或者需要指定网络地址，可以加上--advertise-addr参数，比如docker swarm init --advertise-addr 192.168.1.100。

2. 创建外部Secret #

你的这步操作完全正确，通过管道直接把内容写入Secret，避免了本地存敏感文件的风险：

printf "some secret value goes here" | docker secret create wallet_password -

可以用下面的命令确认Secret已经创建成功：

docker secret ls

输出里应该能看到wallet_password这条记录。

3. 编写Docker Compose配置 #

你的docker-compose.yml配置没毛病！关键就是在secrets区块里加上external: true，告诉Compose：这个Secret已经在Swarm里存在了，不用重新创建，直接用就行。再贴一遍你的配置方便参考：

version: "3.4"
services:
  test:
    image: alpine
    command: 'cat /run/secrets/wallet_password'
    secrets:
      - wallet_password
secrets:
  wallet_password:
    external: true

4. 启动服务并验证Secret生效 #

启动服务的时候注意路径别写错（你提到的docke...应该是笔误，要写成完整的docker-compose.yml）：

docker-compose -f services/debug/docker-compose.yml up -d --build

然后查看服务日志，确认Secret内容是否正确输出：

docker-compose -f services/debug/docker-compose.yml logs test

如果日志里显示了你设置的some secret value goes here，就说明Secret已经成功传递到容器里了！

几个要注意的细节 #

• 名称要完全匹配：Compose配置里的Secret名称必须和你创建的外部Secret名称一模一样，大小写敏感，别打错字。
• Swarm不能忘：没启用Swarm的话，docker secret命令会直接报错，Compose也没法读取外部Secret，这是最容易踩的坑。
• 权限是安全的：容器里/run/secrets目录下的Secret文件默认是只读的，权限为0444，这是Docker的安全设计，不用修改也不能修改。

内容的提问来源于stack exchange，提问作者aph5