Docker Desktop 构建镜像时密码仍会固化在镜像层中，因其GUI不启用BuildKit且不支持--secret；唯一安全方式是终端启用DOCKER_BUILDKIT=1并用docker build --secret传入密钥。
在 Docker Desktop（包括 Windows/macOS 桌面版）上构建镜像时，docker build 行为与 CLI 完全一致——密码写进 Dockerfile 或通过 --build-arg 传入，照样会固化在镜像层里。Docker Desktop 本身不提供额外的密钥保护机制，它只是个 GUI 封装；真正起作用的是底层构建引擎（BuildKit 启用与否、是否用 --secret）和你的构建上下文管理。
为什么 Docker Desktop 的 GUI 构建按钮更危险
Docker Desktop 的“Build & Run”按钮默认不启用 BuildKit，也不支持图形界面传入 --secret。如果你点一下就构建，它实际执行的是传统构建流程：docker build .，所有 ARG 值都会出现在 docker history 中。
- GUI 不显示构建命令细节，容易误以为“没输密码就安全了”，实则
.env文件可能已被自动打包进上下文 - 右键菜单里的 “Build Image” 默认禁用 BuildKit，除非你手动在设置里打开 Use the new BuildKit engine
- 即使开了 BuildKit，GUI 仍不支持挂载 secret 文件——必须切回终端用
docker build --secret
构建前必须检查的三件事（Docker Desktop 环境）
别依赖 GUI 提示，每次构建前手动验证：
- 运行
echo $DOCKER_BUILDKIT，输出应为1；若为空，先执行export DOCKER_BUILDKIT=1 - 检查
.dockerignore是否存在且生效：运行tar -cf - . | tar -t | grep -E '\.(env|key|pem)$'，输出必须为空 - 确认没有在
Dockerfile中出现ENV DATABASE_PASSWORD=、RUN echo "token: $TOKEN" > conf.yml这类写法
BuildKit --secret 在 Docker Desktop 上怎么用
这是目前唯一被 Docker 官方认可的构建阶段临时凭据方案，但只能通过终端调用：
- 准备密钥文件（如
$HOME/.ssh/id_rsa），确保权限为600：chmod 600 $HOME/.ssh/id_rsa - 在
Dockerfile中用RUN --mount=type=secret,id=ssh_key ...访问，不能用COPY或ENV - 终端执行完整命令：
docker build --secret id=ssh_key,src=$HOME/.ssh/id_rsa -t myapp . - 注意：Windows 用户需用 WSL2 后端，且
src=路径要映射到 Linux 路径（如src=/home/user/.ssh/id_rsa）
最容易被忽略的泄露点：Docker Desktop 自动挂载的 config.json
Docker Desktop 启动时会自动将宿主机的 ~/.docker/config.json 挂载进构建容器（用于加速私有仓库拉取）。如果该文件含私有 registry 凭据，而你的 Dockerfile 又用了 FROM private-registry.example.com/mybase:latest，那么构建过程可能隐式复用该凭据——而这个行为不会报错，也不会在日志中显式提示。
风险在于：一旦镜像被导出或推送到其他仓库，攻击者可通过 docker history --no-trunc 查看 base 镜像来源，并反向推测 registry 地址，再结合公开的 config.json 泄露案例暴力尝试凭据。解决方案只有两个：要么清空本地 config.json 的 auths 字段再构建；要么改用 --secret + netrc 显式控制凭据生命周期。
