不建议在Dockerfile中用ADD下载远程敏感资源，因其会将含凭证的URL固化进镜像层；应改用BuildKit --secret或多阶段构建预下载并COPY。

不建议在 Dockerfile 中使用 ADD 指令直接下载远程敏感资源（如含 API 密钥、凭据、内部构件的 URL），因为该操作会将下载命令及可能暴露的凭证固化进镜像层，导致安全风险和审计困难。

敏感资源不该出现在构建上下文或指令参数中

ADD 虽支持远程 URL，但 URL 若含临时 token、签名参数或基础认证（如 https://user:pass@internal.example.com/secret.jar），这些信息会完整保留在镜像历史中，任意拉取镜像者均可通过 docker history 或解压 layer 查看。即使 token 时效很短，镜像一旦生成即“快照化”，敏感性不随 token 过期而消失。

• 避免在 URL 中拼接凭证，包括 query 参数里的 ?token=xxx 或 &sig=yyy
• 禁止将含密 URL 写死在 Dockerfile 中——它不属于可版本化、可审计的配置项
• 不要依赖构建时环境变量注入 URL（如 ADD ${DOWNLOAD_URL} /app/），ARG 值仍会出现在构建缓存与历史中

推荐替代方案：多阶段构建 + 构建时凭据隔离

利用 BuildKit 的 --secret 机制，在构建阶段安全挂载凭据，配合 curl 或 wget 下载，且确保敏感内容绝不写入最终镜像。

• 启用 BuildKit：DOCKER_BUILDKIT=1 docker build ...
• 在 Dockerfile 中用 RUN --mount=type=secret,id=mytoken ... curl --header "Authorization: Bearer $(cat /run/secrets/mytoken)" https://api.example.com/secret.bin > /tmp/secret.bin
• 仅在当前 RUN 指令中访问 secret，不会留存到镜像文件系统；后续层无法读取
• 配合多阶段构建，把下载、解压、校验等操作放在 builder 阶段，只 COPY --from=builder 最终所需文件到运行镜像

更稳妥做法：由 CI/CD 预下载并注入构建上下文

将敏感资源的获取逻辑移出 Docker 构建流程，在 CI 环境中完成鉴权下载、哈希校验、本地暂存，再作为普通文件纳入构建上下文（. 目录），最后用 COPY 加载。

• CI 脚本中用服务账户或短期 token 下载资源，并验证 SHA256，失败则中断构建
• 将文件放入源码同级临时目录（如 ./build-assets/secret-config.yaml），并在 .dockerignore 中排除其他敏感文件
• Dockerfile 中仅写 COPY build-assets/secret-config.yaml /app/config/，无网络操作、无明文凭据
• 该方式完全规避构建时网络依赖和凭据传递，适合强合规场景（如金融、政务）

若必须用 ADD 远程 URL，请满足三个前提

仅当资源完全公开、无任何身份约束、且 URL 不含任何可推断权限的信息时，才可谨慎使用 ADD。例如公开 CDN 上的开源库压缩包。

• URL 必须是静态、无参数、无签名的地址（如 https://example.com/lib/v1.2.0.zip）
• 需在构建前人工确认该资源未被劫持、证书有效、域名归属可信
• 建议改用 curl -fLsS | tar -xzf - -C /dest 替代 ADD，便于添加 -v 或校验逻辑，也更易调试