密钥绝不可硬编码或通过构建参数注入dockerfile，否则会残留于镜像层并被轻易提取；应启用buildkit，使用--secret机制临时挂载，仅在构建时生效且不写入镜像层。
构建 Docker 镜像时不能把宿主机密钥直接 COPY 进去，也不能用 ARG 传密码——那样会留在镜像层里，一查 docker history 就暴露了。真要访问私有仓库、拉取加密配置或签名构建产物，得靠 BuildKit 的 --secret 机制，它只在构建期间临时挂载，进程结束立即销毁，不会写入任何镜像层。
启用 BuildKit 并声明构建密钥
确保环境启用了 BuildKit（Docker 20.10+ 默认开启，也可显式设置）：
- Linux/macOS：运行前加
DOCKER_BUILDKIT=1 - Windows PowerShell：
$env:DOCKER_BUILDKIT="1" - 或全局启用：
echo '{ "features": { "buildkit": true } }' > ~/.docker/daemon.json，然后重启 Docker 服务
用 --secret 挂载 SSH 私钥或 .netrc 文件
例如，从私有 Git 仓库拉代码，或访问私有 npm registry：
- 命令行启动构建：
docker build --secret id=ssh_key,src=$HOME/.ssh/id_rsa --secret id=netrc,src=$HOME/.netrc -t myapp . - Dockerfile 中使用：
RUN --mount=type=secret,id=ssh_key,dst=/tmp/id_rsa --mount=type=secret,id=netrc,dst=/root/.netrc git clone git@github.com:org/private-repo.git /src && npm ci - 注意：
dst路径是容器内临时路径，权限默认为 400（只读），且仅对当前 RUN 命令生效
避免常见陷阱
以下做法看似方便，实则危险，必须规避：
- 在 Dockerfile 里写
COPY ~/.ssh/id_rsa /root/.ssh/—— 密钥永久固化进镜像 - 用
ARG API_KEY+ENV SECRET=$API_KEY—— 构建参数值会出现在docker history中 -
RUN echo "$SECRET" > /app/key.txt && rm /app/key.txt—— 删除操作不擦除层数据，docker save解包仍可还原 - 把密钥文件放在构建上下文目录里再
COPY—— 即使没显式复制，也可能被意外包含进上下文，触发泄露风险
替代方案：运行时注入更安全
如果构建本身不需要密钥，只是应用启动时才需要（比如连接数据库、调用第三方 API），那就完全不该在构建阶段碰密钥：
- 启动容器时用
docker run --env-file .env或-e DB_PASSWORD=xxx - 挂载密钥文件：
docker run -v /host/secrets/db.key:/app/config/db.key:ro，并确保宿主机文件权限为600 - 对接外部 Secret 管理服务：Kubernetes Secret、Docker Swarm secret、HashiCorp Vault、AWS Secrets Manager，让应用在运行时按需获取
