Manteniu les credencials proxy de build fora de les imatges Docker

Per descarregar paquets durant el build, feu servir les entrades proxy predefinides de Docker en lloc de desar una ruta temporal a ENV del Dockerfile. Una invocació POSIX pot proporcionar:

HTTP_PROXY=http://203.0.113.10:8080 \
HTTPS_PROXY=http://203.0.113.10:8080 \
docker build --build-arg HTTP_PROXY --build-arg HTTPS_PROXY .

Substituïu l’endpoint de la documentació. Si ometeu els valors després dels noms de --build-arg, es prenen de l’entorn d’aquesta invocació. No calen declaracions ARG corresponents.

Docker exclou per defecte aquests arguments proxy de la gestió de la memòria cau de build i de docker history. Referenciar-los explícitament al Dockerfile canvia aquest comportament; no afegiu declaracions només perquè ho faci un altre exemple.

El procés continua rebent els valors. Una URL autenticada pot escapar per l’entorn imprès, els registres, una configuració copiada o operacions posteriors de la imatge. ENV al Dockerfile fa que la ruta formi part de l’entorn final i pot convertir un proxy de build en una dependència de cada contenidor.

Quan una ordre necessita material sensible, els secret mounts de BuildKit ofereixen una interfície de secrets durant el build. Limiteu la credencial a aquesta operació; no imprimiu el mount ni en copieu el contingut a una capa.

Aquestes entrades no configuren ni l’extracció anterior del registre feta pel daemon ni la ruta d’un builder remot inaccessible. Després reviseu la imatge final i la configuració de l’aplicació per detectar valors proxy persistents.