Docker Compose环境变量与配置文件管理全攻略

---

一、环境变量管理三大维度

1.1 变量注入方式对比

注入方式	示例	适用场景	安全等级
直接写入Compose文件	environment: DB_PASS=123456	开发调试	⚠️ 低
使用.env文件	environment: DB_PASS=${DB_PASS}	多环境部署	✅ 中
Docker Secrets	secrets: db_password	生产环境敏感数据	🔒 高

---

1.2 多环境配置实战

# 项目结构
.
├── docker-compose.yml
├── .env.staging
├── .env.prod
└── config/
    ├── app-config.dev.yaml
    └── app-config.prod.yaml

启动不同环境：

# 开发环境（默认.env）
docker compose up

# 预发布环境
docker compose --env-file .env.staging up

# 生产环境
docker compose -f docker-compose.yml -f docker-compose.prod.yml up

---

二、配置文件动态挂载

2.1 多环境配置策略

services:
  app:
    image: myapp:${APP_VERSION:-latest}
    volumes:
      - ./config/app-config.${ENV_MODE:-dev}.yaml:/app/config.yaml
    environment:
      ENV_MODE: ${ENV_MODE}

动态加载示例：

ENV_MODE=prod docker compose up

---

2.2 配置热更新方案

services:
  nginx:
    image: nginx:alpine
    volumes:
      - type: bind
        source: ./nginx
        target: /etc/nginx
        consistency: delegated  # 提升Mac/Win性能
    command: [sh, -c, "nginx -g 'daemon off;' && inotifywait -m /etc/nginx | xargs -n1 nginx -s reload"]

---

三、安全加固最佳实践

3.1 Docker Secrets集成

# docker-compose.yml
version: '3.8'

secrets:
  db_password:
    file: ./secrets/db_password.txt

services:
  db:
    image: postgres:15-alpine
    environment:
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
    secrets:
      - db_password

操作流程：

# 生成随机密码
openssl rand -base64 32 > secrets/db_password.txt
chmod 600 secrets/db_password.txt

---

3.2 敏感信息过滤

# 安全审查命令
docker compose config | grep -E 'password|secret|key'

# 输出示例
services:
  db:
    environment:
      POSTGRES_PASSWORD: very_strong_password

---

四、高级配置技巧

4.1 环境变量优先级控制

# 优先级从高到低：
# 1. Shell环境变量
# 2. --env-file指定文件
# 3 Compose文件environment定义
# 4 .env文件
services:
  app:
    environment:
      LOG_LEVEL: ${LOG_LEVEL:-info}  # 默认值语法

---

4.2 多文件配置合并

# base配置（docker-compose.base.yml）
x-common: &common
  logging:
    driver: json-file
    options:
      max-size: "10m"

# 环境扩展（docker-compose.prod.yml）
services:
  app:
    <<: *common
    deploy:
      replicas: 3

---

五、调试与验证工具

5.1 配置预检流程

# 验证Compose文件语法
docker compose config

# 显示解析后完整配置
docker compose convert

# 查看环境变量实际值
docker compose run app env

---

5.2 动态配置检查

# 查看运行时环境变量
docker exec -it app printenv

# 验证配置文件挂载
docker exec -it app ls -l /app/config.yaml

# 跟踪配置变更
docker compose logs -f app | grep 'Config Reloaded'

---

六、企业级方案推荐

6.1 GitOps配置管理架构

---

6.2 配置版本控制策略

# 配置命名规范
config/
├── v1.0/
│   ├── app-config.yaml
│   └── db-config.yaml
└── v1.1/
    ├── app-config.yaml
    └── new-feature.yaml

# 版本回滚操作
docker compose -f docker-compose.yml -f config/v1.0/app-config.yml up

---

安全黄金法则：

1. 永远不要将敏感信息提交到版本库
2. 生产环境必须使用加密Secrets
3. 定期轮换凭证和配置文件
4. 实施最小权限原则

灾难恢复沙盘演练：
✅ 每季度测试配置回滚流程
✅ 每年模拟密钥泄露应急处理
✅ 验证配置变更监控告警有效性