环境变量注入是docker企业级加固最轻量可靠的方式，无需挂载配置文件，避免权限误配与路径错误，适配所有官方镜像，敏感配置不落盘，天然契合ci/cd。
直接通过环境变量注入安全配置，是 docker 企业级加固最轻量、最可靠的方式之一。它不依赖挂载配置文件，避免了权限误配、路径错误或配置热更新失败等问题，尤其适合 milvus、rabbitmq、vaultwarden 等主流服务的快速安全上线。
为什么优先用环境变量而非配置文件？
环境变量注入本质是运行时配置，由容器启动时由 Docker 守护进程解析并传递给应用进程。相比挂载外部 config 文件，它有三个关键优势：
- 无需修改镜像内部结构，适配所有官方镜像（包括 Alpine 轻量版）
- 敏感配置不落盘——只要不写入容器层或 volume，重启即清空，降低泄露风险
- 与 CI/CD 流水线天然契合：不同环境（dev/staging/prod）只需切换 env 文件或 Secret 引用，无需维护多套配置模板
Milvus 开启 Token 认证的典型操作
Milvus v2.3+ 支持纯环境变量启用 RBAC，无需 touch 任何 YAML 配置文件：
- 在 docker-compose.yml 的 standalone 服务 environment 区域添加：
common.security.authorizationEnabled: "true" - 默认凭据为 root / Milvus，首次连接后应立即用 PyMilvus 修改密码
- 客户端连接时必须显式传入 token：
connections.connect(host="127.0.0.1", port="19530", token="root:Milvus")
RabbitMQ 和 Vaultwarden 的安全变量实践
这两个服务虽不内置 RBAC，但可通过环境变量强制覆盖默认凭证、禁用危险功能：
-
RabbitMQ：用
RABBITMQ_DEFAULT_USER和RABBITMQ_DEFAULT_PASS设置初始账号，再通过 management 插件后台创建最小权限用户，停用 guest 账号 -
Vaultwarden：设置
ROCKET_TLS启用 HTTPS，配合DOMAIN和ADMIN_TOKEN开启管理后台，避免暴露未鉴权的 /admin 页面 - 所有密码类变量建议通过 Docker Secrets（Swarm）或外部密钥管理服务（如 HashiCorp Vault）注入，而非明文写在 compose 文件中
避免环境变量本身成为攻击入口
环境变量不是万能保险，使用不当反而放大风险：
- 禁止在
docker run命令中用-e PASSWORD=xxx直接传参——该命令可能被ps或容器审计日志捕获 - 敏感变量统一放在
.env文件中，并确保该文件权限为600，且不纳入 Git 版本控制 - Docker Compose 加载
.env仅用于变量替换，真正运行时仍需用secrets或configs提供运行时凭据
