保障容器化应用数据传输安全的关键是“传得稳、看得见、控得住”，需避免明文暴露、防止越权访问、确保完整性并全程留痕；应校验哈希、最小权限、禁用明文敏感数据、优先加密通道、启用审计与审批闭环。
保障容器化应用的数据传输安全，关键不在“传得快”，而在“传得稳、看得见、控得住”。核心是避免明文暴露、防止越权访问、确保内容完整，并留下可追溯痕迹。
用 docker cp 时务必校验与限权
docker cp 是最常用也最容易被轻视的传输方式。它不加密、不鉴权，但可通过操作规范补足短板：
- 传输前后用 sha256sum 校验文件哈希值，确认未被篡改
- 目标容器路径需提前创建，且权限设为最小必要（如非 root 用户可写）
- 宿主机侧源文件不应设为 world-readable，尤其含敏感配置或密钥时
- 避免在脚本中直接拼接密码或 token 到路径或文件名里
敏感数据坚决不走文件拷贝
密码、API Key、证书私钥等绝不能以明文文件形式通过 docker cp 传递。正确做法是：
- 使用 Docker 的 --secret（swarm 模式）或 buildkit secrets（构建阶段）注入
- 运行时通过环境变量 + 外部密钥管理服务（如 HashiCorp Vault、AWS Secrets Manager）动态获取
- 若必须落盘，应挂载加密卷（如 Linux dm-crypt 卷），而非普通 hostPath
批量/高频传输优先走加密通道
调试中频繁同步代码或日志时，docker cp 效率低且无审计。推荐替代方案：
- 容器内启用 sshd（仅限调试环境），用 scp/sftp 传输，全程 TLS 加密+用户隔离
- 开发态用 bind mount 挂载宿主机目录，配合 inotify 或 rsync 实现增量同步（注意 umask 和 selinux 上下文）
- 生产环境日志导出统一走 log driver（如 fluentd + TLS 输出），不依赖手动拉取
所有传输行为必须留痕可查
安全传输不只是技术动作，更是管理闭环。需确保：
- docker daemon 开启 audit log，记录 cp、exec、attach 等高危操作
- 在 CI/CD 流水线中将传输步骤纳入审批流程（如需人工确认才允许导出数据库 dump）
- 对关键容器启用 seccomp profile，禁止 unshare、mount 等可能绕过隔离的系统调用
