资源与安全50 条

环境变量传密钥的泄露面

环境变量不是密钥保管箱：docker inspect、宿主 /proc/<pid>/environ 与异常转储都可能带出全部 Env，密码与令牌优先用文件挂载或 secrets 机制。

风险面	inspect 输出 / 宿主 proc / 崩溃转储 / 日志
检测	docker inspect -f '{{json .Config.Env}}' 看里面有什么
缓解	只读文件挂载、编排 secrets、构建期 BuildKit secret

示例

docker inspect -f '{{json .Config.Env}}' web
docker exec web sh -c 'xargs -0 -n1 < /proc/1/environ | head -20'

构建期与运行期的密钥通道要分开治理，构建期不要用 ARG 传密钥。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌