Docker Secrets是Swarm集群中管理敏感信息的核心机制，内容加密存于Raft日志、TLS通信必启，运行时以只读文件挂载至/run/secrets/，不落盘、不入镜像；单机场景可用--tmpfs替代，结合.dockerignore和多阶段构建彻底剥离敏感内容。
用 Docker 管理容器内敏感信息，核心是“不落地、不暴露、不硬编码”。真正安全的挂载与加密管理，不是靠环境变量或配置文件，而是依赖 Docker 原生机制与运行时隔离策略的组合使用。
优先使用 Docker Secrets（Swarm 环境）
Docker Secrets 是专为敏感数据设计的内置方案，仅在 Swarm 集群中生效，具备端到端保护能力：
- Secret 内容加密后写入 Raft 日志，节点间 TLS 通信必须启用，否则加密可能被绕过
- 挂载进容器后，以只读文件形式出现在 /run/secrets/
，权限默认为 0444，不落盘、不进镜像层 - 创建方式灵活：支持从 stdin、文件或字面量输入，例如
echo "prod-api-key" | docker secret create api_key - - 服务启动时通过
--secret挂载，可自定义目标路径、UID/GID 和权限模式，如--secret source=api_key,target=apikey,mode=0400
单机或非 Swarm 场景：tmpfs + 只读挂载组合
当无法使用 Swarm 时，--tmpfs 是最轻量且有效的替代方案：
- 用
docker run --tmpfs /run/secrets:rw,noexec,nosuid,size=16m创建内存临时目录 - 配合初始化脚本，在容器启动时将密钥文件（如从 Vault 或 host-mounted 加密卷解密后）写入该 tmpfs 目录
- 确保应用以只读方式打开文件，并校验文件权限；禁止将密钥写入
/tmp或/var/tmp等常规临时路径 - 避免与 bind mount 混用——宿主机路径若未加密，会破坏整体安全性
镜像构建阶段彻底剥离敏感内容
防止敏感信息意外进入镜像，是加密管理的前提：
- 严格配置
.dockerignore，排除*.env、secrets/、config/*.pem、.git等所有含密文件 - 采用多阶段构建：构建阶段安装依赖并编译，运行阶段只 COPY 编译产物和必要配置，完全不复制源码或密钥文件
- 禁用
docker build --build-arg传密钥——build-args 会留在镜像历史中，不可用于生产敏感信息
补充加密手段：外部工具协同加固
对更高安全等级场景，需叠加外部加密能力：
- 用
age或GPG对密钥文件预加密，运行时由容器内程序调用解密命令读取（密钥本身仍需通过 Secrets 或 tmpfs 注入） - 对接 HashiCorp Vault：容器启动时通过 Vault Agent 自动拉取动态凭据，生命周期由 Vault 控制，支持自动轮换
- VeraCrypt 加密卷可用于持久化敏感数据存储，但仅限宿主机挂载点加密，不适用于容器内部文件级加密
