如何在Dockerfile中从Nexus下载需认证资源并适配复杂密码？

为什么wget不是复杂密码场景的最优解 #

wget的--password参数对特殊字符（比如\、$、&）需要手动转义，处理起来极易出错；而--ask-password依赖交互式输入，Docker构建全程是非交互式的，完全无法使用。再加上硬编码密码的安全问题，后续还要额外加解密逻辑，整体复杂度很高。

首选方案：用curl处理认证与复杂密码 #

curl在HTTP认证、特殊字符解析上的表现远优于wget，是这类场景的最佳选择，具体用法分几种场景：

• 基础构建参数传递（适合简单场景）
  用-u参数直接传递用户名密码，curl会自动处理密码中的特殊字符，无需手动转义。同时用Docker构建参数（--build-arg）传递敏感信息，避免硬编码在Dockerfile里：

  ARG NEXUS_USER
  ARG NEXUS_PASSWORD
  RUN curl -u "${NEXUS_USER}:${NEXUS_PASSWORD}" -O "https://your-nexus-domain/repository/your-repo/artifact.tar.gz"
  

  构建时执行：

  docker build --build-arg NEXUS_USER=your-user --build-arg NEXUS_PASSWORD='pass\word$123' .
  

• 用Docker构建机密隐藏密码（高安全场景）
  如果你用的是Docker 18.09及以上版本，推荐用--secret传递密码，避免密码出现在构建历史或镜像层中：

  # 启用BuildKit语法
  # syntax=docker/dockerfile:1.2
  ARG NEXUS_USER
  RUN --mount=type=secret,id=nexus_password \
      NEXUS_PASSWORD=$(cat /run/secrets/nexus_password) && \
      curl -u "${NEXUS_USER}:${NEXUS_PASSWORD}" -O "https://your-nexus-domain/repository/your-repo/artifact.tar.gz"
  

  构建时把密码文件传入：

  docker build --secret id=nexus_password,src=./your-password-file.txt --build-arg NEXUS_USER=your-user .
  

• 生成.netrc文件适配多下载场景
  如果需要多次从同一认证源下载，可以生成.netrc文件（curl和wget都会自动读取该文件的认证信息），用完后及时删除避免遗留：

  ARG NEXUS_USER
  ARG NEXUS_PASSWORD
  RUN echo "machine your-nexus-domain login ${NEXUS_USER} password ${NEXUS_PASSWORD}" > ~/.netrc && \
      chmod 600 ~/.netrc && \
      curl -O "https://your-nexus-domain/repository/your-repo/artifact1.tar.gz" && \
      curl -O "https://your-nexus-domain/repository/your-repo/artifact2.tar.gz" && \
      rm ~/.netrc
  

内容的提问来源于stack exchange，提问作者voidnull