copy指令不自动过滤敏感文件，需通过.dockerignore排除、精准路径复制、多阶段构建的--from限定及运行时注入配置来保障安全。
COPY 指令本身不会自动过滤或识别敏感文件，它只是按路径机械复制——只要路径匹配，无论内容是否含密钥、密码、.env 文件或证书，都会被一并复制进去。真正防止敏感信息泄露，靠的是构建前的显式控制 + 多阶段构建的精准传递 + 严格路径约定。
明确排除敏感文件，别依赖 COPY 自动识别
COPY 不解析文件内容，也不扫描关键词。所谓“过滤”，必须由你主动定义哪些不该进镜像：
- 使用
.dockerignore文件提前屏蔽（最常用、最有效）# .dockerignore 示例 .env *.pem *.key config/secrets.yml credentials.json
这些文件在构建上下文打包阶段就被剔除，根本不会传入
COPY的源范围。 - 避免通配符盲目复制，比如
COPY . /app是高危操作；应只复制明确需要的子目录或文件：COPY src/ /app/src/ COPY public/ /app/public/ COPY package.json package-lock.json /app/
多阶段构建中，用 --from 精准拉取，不带“多余东西”
中间构建阶段可能生成临时产物（如编译缓存、调试工具），但最终运行镜像只该有可执行文件：
FROM golang:1.21 AS builder COPY --chown=builder:builder . /src/ WORKDIR /src RUN go build -o /app/myapp . FROM alpine:latest COPY --from=builder /app/myapp /usr/local/bin/myapp # 注意：这里没复制任何源码、配置、.git 或构建日志
关键点：--from=builder 只取指定路径下的二进制，其他所有中间文件（包括可能混入的 .env 或 secrets.go）都不会进入最终镜像。
敏感配置不进镜像，改用运行时注入
把凭证类数据硬编码进镜像违反安全原则。正确做法是：
构建时不复制敏感配置文件
-
容器启动时通过环境变量、Secrets（Docker Swarm / Kubernetes）、或挂载只读卷方式注入
# 不要这样： COPY config/prod-with-api-key.yml /app/config.yml # 而应这样： COPY config/app.yml.template /app/config.yml # 启动时用 entrypoint 脚本替换占位符，或直接读环境变量
额外加固建议
- 在 CI 流水线中加一道静态扫描（如
truffleHog或gitleaks），检查构建上下文中是否意外包含密钥 - 对
COPY指令做代码审查：凡出现COPY .或COPY *，必须附带说明为何安全，否则拒绝合并 - 使用
docker build --no-cache配合--progress=plain观察实际复制了哪些文件，验证.dockerignore是否生效
不复杂但容易忽略。
