真正有效的脱敏是全程避免敏感内容进入镜像：构建前用.dockerignore过滤并验证上下文；构建中禁用明文注入，改用运行时动态获取；构建后用Trivy扫描和文件查找确认无残留。
构建Docker镜像时做自动化脱敏，核心不是“在镜像里处理数据”，而是“不让敏感内容进镜像”。真正有效的脱敏发生在构建前、构建中和交付前三个环节，全程避免硬编码、明文配置和上下文污染。
构建前：用.dockerignore精准过滤敏感源文件
这是最基础也最关键的防线。Docker build默认把当前目录所有文件发给守护进程，即使你后续RUN rm -f *.key，密钥早已上传并固化进某一层。
- 必须显式声明高危项：
.git、.env、*.pem、*.key、secrets/、config/local.yml、**/credentials - 慎用通配符
*，建议逐条列出；如需保留README.md，用!README.md白名单式放行 - 构建前快速验证：运行
tar -cf - . | tar -t | grep -E '\.(key|pem|env)$'，输出为空才表示上下文干净
构建中：禁用明文注入，改用运行时动态获取
Dockerfile里任何ENV DB_PASSWORD=xxx或COPY config.prod.json都会把敏感信息钉死在镜像层，无法靠删除消除。
- 删掉所有明文
ENV设密指令；不COPY含密钥的配置文件 - 构建参数
ARG只传非敏感值（如BUILD_VERSION），且配合--no-cache使用 - 应用启动逻辑要支持“无配置启动”：容器启动后，通过
curl http://vault:8200/v1/secret/db拉取凭证，或由K8s Secret挂载到/run/secrets/
构建后：用扫描工具查漏补缺，确认无残留
镜像交付前必须当黑盒检查，不能依赖“我记得没加”。重点看文件系统层是否藏有密钥字符串或调试痕迹。
- 执行
docker history 镜像名，逐层检查是否有RUN echo 'token=abc' > conf类危险操作 - 用Trivy扫描：运行
trivy image --scanners secret,config --severity HIGH,CRITICAL 镜像名，识别硬编码token、私钥、未加密凭证 - 对最终镜像运行
docker run --rm 镜像名 find / -name "*.pem" -o -name "*.key" 2>/dev/null，确认运行时根目录无密钥文件
进阶方案：加密配置+可信注入（适合医疗、金融等强合规场景）
若CI/CD流水线必须注入配置，应使用KMS托管短期密钥加密，而非明文传递。
- 在CI中执行：
aws kms encrypt --key-id alias/medical-data-key --plaintext fileb://config.env --query CiphertextBlob --output text > config.env.enc - Dockerfile中只COPY加密后的
config.env.enc，容器启动时调用KMS Decrypt API解密（需配置IAM权限） - 确保KMS密钥策略与HIPAA/GDPR对齐，密钥自动轮转，解密权限按最小化原则授予
