首页/云/Docker 容器速查/RUN --mount=type=secret 构建期机密
本包目录(366 条)
基础命令50 条
镜像与构建107 条
网络与存储52 条Compose 编排55 条资源与安全50 条容器排障52 条

RUN --mount=type=secret 构建期机密

在单条 RUN 期间临时挂载机密文件(npmrc、证书、token),用完即撤,不会写进镜像层或构建历史。

Docker 容器速查云更新于 2026-10-12
用途构建期安全使用机密
语法RUN --mount=type=secret,id=npmrc,target=/root/.npmrc 命令
提供方式docker build --secret id=npmrc,src=.npmrc .

示例

示例
RUN --mount=type=secret,id=npmrc,target=/root/.npmrc \
    npm ci --omit=dev

# 命令行提供机密(文件内容来自宿主文件)
docker build --secret id=npmrc,src=$HOME/.npmrc -t app/web:1.0 .
不写 target 时默认挂载到 /run/secrets/<id>;需要多条 RUN 使用同一机密时可分别挂载。

易错点

  • CI 忘记传 --secret 会因读不到凭据而拉包失败,报错点通常在包管理器里
  • secret 只保护构建期;若应用需要运行期凭据,应使用运行环境自己的机密机制

数据来源与参考

  • Docker 官方文档:Build secrets(docs.docker.com/build/building/secrets)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌