Apagado na última camada: como recuperar um segredo de uma imagem Docker

Cada COPY, ADD e RUN em um Dockerfile produz uma nova camada somente leitura. A imagem é a pilha de todas elas, e um contêiner enxerga a visão combinada.

Quando uma etapa posterior apaga um arquivo, o Docker não consegue reescrever a camada anterior. Em vez disso, ele adiciona uma entrada whiteout, um arquivo chamado .wh.<name>, que instrui a visão combinada a esconder o original. Os bytes originais continuam sendo entregues dentro da camada anterior.

O docker save exporta cada camada como um tarball, então qualquer pessoa que consiga baixar uma imagem pública pode ler todos os arquivos que qualquer etapa do build já escreveu.

• Usar um ls simples. O .env é um dotfile, então só aparece com ls -a ou find.
• Ler o whiteout. O .wh..env está vazio: ele é o marcador de exclusão, não o arquivo.
• Pegar o primeiro .env que aparecer. Duas camadas escreveram um. Os ids das camadas não seguem a ordem do build: o manifest.json segue, e a escrita mais recente é a que a produção usou.
• Pegar o arquivo de exemplo. O .env.example contém um valor sk_test_ de placeholder.

• Exclua o .env e outros arquivos de segredo do contexto de build no .dockerignore.
• Passe segredos de build com BuildKit: RUN --mount=type=secret,id=env ... monta o segredo para uma única etapa e nunca o grava em uma camada.
• Use builds multi-stage para que apenas os artefatos finais cheguem à imagem entregue.
• Injete segredos de execução como variáveis de ambiente ou a partir de um gerenciador de segredos, e revogue toda chave que já esteve em uma imagem publicada.