如何清除Docker镜像构建历史中的凭证信息？

这确实是个挺头疼的安全问题——用--build-arg传递代理凭证这类敏感信息后，居然能在docker history里看到明文，完全没了保密性。下面给你几个经过验证的靠谱解决方案，按推荐程度排序：

1. 优先用多阶段构建（最安全且通用） #

多阶段构建的核心优势是：只有最后一个阶段的内容会保留在最终镜像中，前面阶段的所有构建参数、中间层都会被彻底丢弃，根本不会出现在最终镜像的历史里。

举个实际的例子，假设你需要用代理下载依赖：

# 第一阶段：仅用于完成需要代理的操作，用完就丢
FROM alpine AS builder
# 这里接收构建参数，但这些参数只会存在于这个阶段
ARG PROXY_USER
ARG PROXY_PASS
RUN echo "通过代理下载依赖..." && \
    # 临时设置代理环境变量，仅在当前RUN指令生效
    export http_proxy=http://${PROXY_USER}:${PROXY_PASS}@your-proxy.com:8080 && \
    # 执行需要代理的操作，比如安装包、拉取代码等
    apk add --no-cache curl

# 第二阶段：构建最终镜像，只复制第一阶段的必要产物
FROM alpine
# 只把第一阶段下载好的curl复制过来，其他一概不拿
COPY --from=builder /usr/bin/curl /usr/bin/curl
# 后续的镜像操作完全和敏感信息无关

构建完成后，你再跑docker history查看，只会看到第二阶段的操作记录，第一阶段的PROXY_USER、PROXY_PASS这类参数根本不会出现在最终镜像里。

2. 使用Docker的--secret特性（Docker 18.09+） #

Docker从18.09版本开始支持--secret参数，专门用来传递敏感信息，这类信息不会被写入镜像层，也不会出现在构建历史中。

步骤如下：

1. 先把你的代理凭证存到一个本地文件里，比如proxy_creds.txt，内容格式是username:password
2. 修改Dockerfile，用--mount=type=secret临时挂载这个凭证文件：

FROM alpine
RUN --mount=type=secret,id=proxy_creds \
    # 临时读取凭证，仅在当前RUN指令内有效
    export PROXY_CREDS=$(cat /run/secrets/proxy_creds) && \
    export http_proxy=http://${PROXY_CREDS}@your-proxy.com:8080 && \
    apk add --no-cache curl

3. 用带--secret参数的命令构建：

docker build --secret id=proxy_creds,src=proxy_creds.txt .

这种方式下，凭证只会在构建过程的那个RUN指令里临时可用，既不会被写入镜像，也不会出现在docker history的输出里，安全性拉满。

3. 用--squash合并镜像层（不推荐作为首选） #

如果你用的是支持实验特性的Docker版本，可以在构建时加上--squash参数，把所有构建层合并成一个单独的层。这样docker history里只会显示合并后的操作记录，不会看到之前的--build-arg参数。

但这个方法有明显缺点：合并层会破坏Docker的镜像缓存机制，后续构建会变慢；而且如果合并前的层已经写入了敏感信息，还是有极小概率被恢复出来，所以只适合临时救急，不推荐作为长期方案。

额外注意事项 #

• 绝对不要用ENV指令把敏感信息设置成环境变量，这样不仅docker history能看到，用docker inspect也能直接读取到，等于把凭证明晃晃地存在镜像里。
• 如果你已经构建了包含敏感凭证的镜像，一定要及时用docker rmi删除，避免泄露风险。

内容的提问来源于stack exchange，提问作者mdornfe1