应避免明文存储密码，推荐用 env_file 分离敏感变量并设 chmod 600、.gitignore；禁用 --password，改用 --password-stdin；生产环境接入 vault/aws secrets/k8s secrets；加固 ~/.docker/config.json 权限及配置 credsstore。
直接在 docker compose 或命令行中用明文写密码，等于把钥匙贴在门上——看着方便，实则高危。核心解法不是“怎么传”，而是“不让它以明文形态存在”。
用 env_file 分离 + 权限锁死
把敏感变量单独抽到 .env.secrets 这类文件里，再通过 env_file 加载：
- 在
docker-compose.yml中声明：env_file: - .env.secrets - 立刻执行
chmod 600 .env.secrets，确保只有文件所有者能读写 - 把
.env.secrets加进.gitignore，彻底阻断提交风险
禁用明文命令行传参
Docker CLI 明确警告：--password 是不安全的。必须改用 --password-stdin：
- 正确方式：
echo "$DOCKER_PASS" | docker login --username "$USER" --password-stdin - 避免在脚本里拼接含密码的命令字符串
- 禁止把密码写进
~/.bash_history或 CI/CD 的日志输出中（如启用mask-secrets）
跳过文件，直连密钥管理服务
开发环境可用文件隔离，生产环境应绕过本地文件：
- 用 HashiCorp Vault、AWS Secrets Manager 或 Kubernetes Secret 动态注入运行时变量
- Docker Compose v2.20+ 支持
secrets字段，可挂载加密 secret 到容器内指定路径 - CI/CD 流水线中通过环境变量或凭据插件安全注入，不在任何配置文件里落地
加固 Docker 自身认证凭据
很多人忘了，~/.docker/config.json 里存的也是 Base64 编码的明文凭据：
- 运行
chmod 600 ~/.docker/config.json锁定权限 - 配置
credsStore（如osxkeychain或wincred），让系统密钥环接管存储 - 绝对不要把
~/.docker目录挂载进不可信容器
