真正规避硬编码的核心是让敏感信息“不进镜像、不留痕、不固化”，须禁用env/run明文设密，用.dockerignore过滤上下文，多阶段构建精准复制产物，并通过trivy等工具黑盒验证。
直接在 Dockerfile 里写密码、密钥或配置文件，等于把钥匙钉在门上——看起来锁了门，其实谁来都能拿走。真正规避硬编码，核心是让敏感信息“不进镜像、不留痕、不固化”。这不是靠删文件补救，而是从构建逻辑源头切断泄露路径。
禁用 ENV 和 RUN export 明文设密
ENV DB_PASSWORD=abc123 或 RUN export API_KEY=$KEY 这类写法会把值直接写入镜像某一层，即使后续 RUN rm -f .env，历史层仍可被 docker history 或 docker image inspect 提取。
- 删掉所有含敏感值的 ENV 指令；只保留运行必需、非敏感的环境变量，如 APP_ENV=prod、TZ=Asia/Shanghai
- 避免在 RUN 中拼接敏感内容到文件：❌ RUN echo "password=${DB_PASSWORD}" > config.yml；✅ 改为启动时动态生成
- 若必须用 ARG（如版本号、分支名），声明后仅用于构建逻辑，不在 RUN 中 echo 或写入持久化文件
用 .dockerignore 主动过滤上下文
Docker build 默认把当前目录整个打包发给守护进程。哪怕你 Dockerfile 里什么都没 COPY，.env、secrets/、*.pem 这些文件也早已上传并可能残留于中间层。
- 根目录下必须存在 .dockerignore，并逐条列出高危项：.env、config/*.local、secrets/、*.key、*.pem、.git、__pycache__
- 慎用通配符 *；需保留的文件（如 README.md）用 !README.md 白名单放行
- 构建前快速验证：运行 tar -cf - . | tar -t | grep -E '\.(key|pem|env)$'，输出为空才表示上下文干净
多阶段构建中精准复制，杜绝源码/配置污染
很多泄露来自 COPY . . 或 COPY config/ .，把本地开发配置一股脑打进镜像。多阶段构建不是“用了就行”，关键在“复制什么”和“不复制什么”。
- 构建阶段（builder）安装依赖、编译代码，但不 COPY 整个 src/ 或 config/ 目录
- 运行阶段（runtime）只 COPY --from=builder 明确产物：二进制文件、dist/、build/ 等编译结果，绝不复制 .git、node_modules、.env.example
- 配置类文件（如 application.yml）应在运行时注入，而非构建时 COPY；若必须带默认配置，确保其中不含 password、token 字段
交付前强制扫描与黑盒验证
不能凭“我记得没加”就发布。镜像交付前要当黑盒查——就像安全审计一样，不看 Dockerfile，只看最终镜像里有没有东西。
- 执行 docker history 镜像名，逐层检查是否有 RUN echo 'token=...' 或 COPY *.env 类危险操作
- 用 Trivy 扫描硬编码凭证：trivy image --scanners secret --severity HIGH,CRITICAL 镜像名
- 启动容器检查文件系统：docker run --rm 镜像名 find / -name "*.key" -o -name "*.pem" 2>/dev/null，确认无密钥文件残留
