Docker 环境变量怎么传递到容器内？-e 和 --env-file 怎么用？

Question

仓乃文 · Accepted Answer

Docker 容器的环境变量配置是初学者最容易搞混的地方。有 -e、--env-file、Dockerfile ENV 三种方式，各有适用场景。环境变量用错了，应用就读不到配置。

三种方式对比：
```
| 方式            | 何时生效     | 适合场景           | 是否进镜像  |
|----------------|-------------|-------------------|-----------|
| Dockerfile ENV | 构建时+运行时 | 固定默认值         | 是         |
| docker run -e  | 运行时       | 少量动态变量       | 否         |
| --env-file     | 运行时       | 大量变量/敏感信息   | 否         |
```

方式 1：Dockerfile ENV（构建时固化）：
```dockerfile
FROM node:18-alpine
ENV NODE_ENV=production
ENV APP_PORT=3000
# 构建时写入镜像，所有容器实例都继承
# 适合不变的默认值
```

方式 2：docker run -e（运行时传参）：
```bash
# 单个变量
docker run -e NODE_ENV=production myapp

# 多个变量
docker run \
  -e NODE_ENV=production \
  -e DB_HOST=mysql \
  -e DB_PORT=3306 \
  myapp

# 从宿主机环境变量继承（不加 = 值）
export DB_HOST=192.168.1.100
docker run -e DB_HOST myapp
# 容器内 DB_HOST=192.168.1.100
```

方式 3：--env-file（文件批量导入）：
```bash
# 创建 .env 文件
# .env
DB_HOST=mysql
DB_PORT=3306
DB_USER=root
DB_PASS=secret123
REDIS_URL=redis://cache:6379

# 运行时加载
docker run --env-file .env myapp

# .env 文件格式要求：
# - 每行一个 KEY=VALUE
# - 不用加引号（加了也会保留）
# - # 开头是注释
# - 空行忽略
```

Docker Compose 环境变量：
```yaml
services:
  app:
    image: myapp
    # 方式 1：直接写
    environment:
      - NODE_ENV=production
      - DB_HOST=mysql
    # 方式 2：引用文件
    env_file:
      - .env
    # 方式 3：从宿主机 .env 自动加载
    # Compose 默认读取同目录下的 .env 文件
```

优先级（高到低）：
```
docker run -e > --env-file > Dockerfile ENV
# 运行时参数覆盖构建时默认值
```

常见坑：
```bash
# 坑 1：敏感信息写进 Dockerfile ENV
# Dockerfile:
# ENV DB_PASSWORD=secret123
# 任何人 docker history 都能看到！
docker history myapp
# 应该用 -e 或 --env-file 在运行时传入

# 坑 2：.env 文件提交到 Git
# .gitignore 中加上：
.env
.env.*
# 提供 .env.example 作为模板

# 坑 3：值中有空格或特殊字符
docker run -e "API_KEY=abc def=123" myapp
# 需要加引号包裹整个参数
```

补充说明：
- 敏感信息（密码、密钥）永远不要写进 Dockerfile，用运行时传入
- docker inspect 可查看容器的环境变量，不要在环境变量中存真正的密钥
- 生产环境建议用 Docker Secrets 或 Vault 管理敏感配置
- 规则：默认值用 Dockerfile ENV，动态值用 -e，大量变量用 --env-file