env用于设置安全、非敏感的默认值，如路径、版本号、通用开关；推荐一行多变量写法，避免写入密码等敏感信息，需与arg和运行时-e/--env-file配合实现环境适配。
在 dockerfile 中用 env 设置环境变量，核心是声明可复用、安全、非敏感的默认值，不是把所有配置都“写死”。它主要服务于构建过程和容器运行时的基础行为，比如路径、版本号、通用开关等。
ENV 的两种写法和基本规则
语法简单，但细节影响可维护性：
- 单变量写法：`ENV NODE_ENV production`（空格分隔，适合简单场景）
- 多变量写法（推荐）：`ENV NODE_ENV=production APP_PORT=3000 LOG_LEVEL=info`（一行定义多个，减少镜像层数，更清晰）
- 值含空格或特殊字符时，用双引号包裹，例如 `ENV NAME="Happy Feet"`
- 定义后可在后续指令中直接引用，如 `WORKDIR $APP_HOME` 或 `RUN echo $NODE_ENV`
哪些情况适合用 ENV 设值
ENV 变量会固化进镜像，所以只该用于：
✅ 安全、公开、跨环境一致的配置
✅ 构建阶段需要复用的路径或版本（如 `JAVA_VERSION=17`、`APP_HOME=/app`）
✅ 应用能识别的通用开关（如 `NODE_ENV=development`、`LOG_LEVEL=warn`）
❌ 别放密码、密钥、生产数据库地址、API token 等敏感信息
❌ 别为不同环境（dev/test/prod）写不同值——这违背“一次构建、多环境运行”原则
ENV 和其他方式怎么配合
ENV 是基础层，真正灵活靠外部注入：
- 构建时想传参（如指定基础镜像版本），用 ARG + ENV 组合：先 `ARG BASE_IMAGE`，再 `ENV BASE_IMAGE=$BASE_IMAGE`，构建时加 `--build-arg BASE_IMAGE=ubuntu:24.04`
- 运行时覆盖默认值，用 docker run -e：`docker run -e NODE_ENV=production -e DB_HOST=prod-db my-app`
- 批量管理配置（尤其含敏感项），用 --env-file：准备本地 `.env` 文件，启动时加 `--env-file .env`
常见误用提醒
几个容易踩的坑：
- 在 ENV 中写 `DB_PASSWORD=secret123` —— 镜像一推到仓库，密钥就泄露了
- 用 ENV 区分环境，比如 `ENV ENVIRONMENT=staging`，然后在代码里 if-else —— 这会让镜像失去环境无关性
- 以为 ENV 能读取宿主机的 `.env` 文件 —— Dockerfile 本身不解析 `.env`，需靠构建参数或 entrypoint 脚本实现
- 变量名大小写不统一，比如代码读 `DB_HOST`，Dockerfile 写 `db_host` —— 大多数框架只认大写命名
