环境与配置管理60 条

缓存与制品中的凭据泄漏

构建缓存、镜像层、制品归档都可能夹带凭据：用短时凭据与 secret 挂载替代「写进构建环境」，并定期扫描制品。

高发位置	包管理器配置（.npmrc、.pypirc）、kubeconfig、镜像层里的 ENV/文件、CI 缓存目录
对策	构建期用 BuildKit secret 挂载；凭据最小权限且短时效；事后扫描（trivy fs/镜像扫描）
清理	发现即轮换凭据并重建受影响制品

BuildKit 挂载密钥

RUN --mount=type=secret,id=npmrc,target=/root/.npmrc npm ci

缓存与层是「历史沉积」：改流程后旧内容仍在，需要清理与扫描确认。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌