9.5. Environment и secrets

LOG_PREFIX: "${PREFIX-по умолчанию}"     # PREFIX="" даст пустую строку
LOG_LEVEL: "${LEVEL:-INFO}"              # LEVEL="" даст INFO

DATABASE_PASSWORD: "${DB_PASSWORD:?задайте DB_PASSWORD в .env}"

command: ["sh", "-c", "echo Домашний каталог: $$HOME"]

services:
  app:
    env_file:
      - .env.common
      - path: .env.local
        required: false          # не падать, если файла нет
      - path: .env.raw
        format: raw              # не интерпретировать кавычки и экранирование

# комментарий
KEY=value
QUOTED="значение с пробелами"
EMPTY=
MULTI=строка1\nстрока2

services:
  app:
    image: myapp
    secrets:
      - db_password
      - source: api_key
        target: api-key.txt        # имя файла в /run/secrets/
        mode: 0400

secrets:
  db_password:
    file: ./secrets/db_password.txt

  api_key:
    environment: API_KEY           # из окружения, не из файла

password = Path("/run/secrets/db_password").read_text().strip()

services:
  db:
    image: postgres:17-alpine
    environment:
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
    secrets:
      - db_password

compose.yaml        → в репозитории, без секретов
.env.example        → в репозитории, с описанием переменных
.env                → НЕ в репозитории (в .gitignore)
secrets/*.txt       → НЕ в репозитории

mkdir -p /tmp/envsec && cd /tmp/envsec

cat > .env <<'EOF'
IMAGE_TAG=3.13-slim
SECRET_FROM_DOTENV=это-значение-из-dotenv
EOF

cat > compose.yaml <<'EOF'
name: envsec

services:
  app:
    image: "python:${IMAGE_TAG}"
    command:
      - python
      - -c
      - |
        import os
        for k in ("IMAGE_TAG", "SECRET_FROM_DOTENV", "EXPLICIT"):
            print(f"  {k:<20} = {os.environ.get(k, '(отсутствует)')}")
EOF

echo "═══ что видит container ═══"
docker compose run --rm -T app 2>/dev/null

echo "═══ а в конфигурацию подстановка прошла ═══"
docker compose config | grep -E 'image:' | sed 's/^/  /'

═══ что видит container ═══
  IMAGE_TAG            = (отсутствует)
  SECRET_FROM_DOTENV   = (отсутствует)
  EXPLICIT             = (отсутствует)
═══ а в конфигурацию подстановка прошла ═══
    image: python:3.13-slim

cd /tmp/envsec
cat > compose.yaml <<'EOF'
name: envsec

services:
  app:
    image: "python:${IMAGE_TAG}"
    environment:
      SECRET_FROM_DOTENV: "${SECRET_FROM_DOTENV}"   # явная передача
      EXPLICIT: "задано прямо в файле"
    command:
      - python
      - -c
      - |
        import os
        for k in ("IMAGE_TAG", "SECRET_FROM_DOTENV", "EXPLICIT"):
            print(f"  {k:<20} = {os.environ.get(k, '(отсутствует)')}")
EOF

docker compose run --rm -T app 2>/dev/null

  IMAGE_TAG            = (отсутствует)
  SECRET_FROM_DOTENV   = это-значение-из-dotenv
  EXPLICIT             = задано прямо в файле

cd /tmp/envsec
cat > compose.yaml <<'EOF'
name: envsec

services:
  app:
    image: python:3.13-slim
    environment:
      A_SIMPLE: "${VAR}"
      B_COLON_DASH: "${VAR:-умолчание}"
      C_DASH: "${VAR-умолчание}"
      D_COLON_PLUS: "${VAR:+задана-и-непуста}"
      E_LITERAL_DOLLAR: "цена 100$$"
    command:
      - python
      - -c
      - |
        import os
        for k in sorted(os.environ):
            if k[1] == "_" and k[0] in "ABCDE":
                print(f"  {k:<18} = {os.environ[k]!r}")
EOF

echo "═══ VAR не задана ═══"
docker compose run --rm -T app 2>/dev/null

echo "═══ VAR пустая строка ═══"
VAR= docker compose run --rm -T app 2>/dev/null

echo "═══ VAR='значение' ═══"
VAR=значение docker compose run --rm -T app 2>/dev/null

═══ VAR не задана ═══
  A_SIMPLE           = ''
  B_COLON_DASH       = 'умолчание'
  C_DASH             = 'умолчание'
  D_COLON_PLUS       = ''
  E_LITERAL_DOLLAR   = 'цена 100$'
═══ VAR пустая строка ═══
  A_SIMPLE           = ''
  B_COLON_DASH       = 'умолчание'
  C_DASH             = ''
  D_COLON_PLUS       = ''
  E_LITERAL_DOLLAR   = 'цена 100$'
═══ VAR='значение' ═══
  A_SIMPLE           = 'значение'
  B_COLON_DASH       = 'значение'
  C_DASH             = 'значение'
  D_COLON_PLUS       = 'задана-и-непуста'
  E_LITERAL_DOLLAR   = 'цена 100$'

cd /tmp/envsec
cat > compose.yaml <<'EOF'
name: envsec

services:
  app:
    image: python:3.13-slim
    environment:
      DB_PASSWORD: "${DB_PASSWORD:?задайте DB_PASSWORD в .env или окружении}"
    command: ["python", "-c", "import os; print('  пароль получен, длина:', len(os.environ['DB_PASSWORD']))"]
EOF

echo "═══ без переменной ═══"
docker compose config 2>&1 | tail -1 | sed 's/^/  /'
echo "  код: $?"

echo "═══ с переменной ═══"
DB_PASSWORD=секрет123 docker compose run --rm -T app 2>/dev/null

═══ без переменной ═══
  error: required variable DB_PASSWORD is missing a value: задайте DB_PASSWORD в .env или окружении
  код: 0
═══ с переменной ═══
  пароль получен, длина: 9

cd /tmp/envsec
docker compose config > /dev/null 2>&1
echo "  код docker compose config: $?"

  код docker compose config: 1

cd /tmp/envsec
cat > compose.yaml <<'EOF'
name: envsec

services:
  leaky:
    image: python:3.13-slim
    environment:
      DB_PASSWORD: "супер-секретный-пароль"
    command: ["sleep", "300"]
EOF

docker compose up -d > /dev/null 2>&1
sleep 2
cid="$(docker compose ps -q leaky)"

echo "═══ 1. docker inspect ═══"
docker inspect "$cid" --format '{{range .Config.Env}}{{println "  " .}}{{end}}' | grep DB_PASSWORD

echo "═══ 2. /proc/1/environ внутри container ═══"
docker compose exec -T leaky sh -c "tr '\0' '\n' < /proc/1/environ | grep DB_PASSWORD" | sed 's/^/  /'

echo "═══ 3. docker compose config ═══"
docker compose config | grep DB_PASSWORD | sed 's/^/  /'

echo "═══ 4. наследование дочерним процессом ═══"
docker compose exec -T leaky python -c "
import os, subprocess
out = subprocess.run(['python', '-c', 'import os; print(os.environ.get(\"DB_PASSWORD\"))'],
                     capture_output=True, text=True)
print('  потомок видит:', out.stdout.strip())
"

echo "═══ 5. виден даже после остановки ═══"
docker compose stop leaky > /dev/null 2>&1
docker inspect "$cid" --format '{{range .Config.Env}}{{println "  " .}}{{end}}' | grep DB_PASSWORD
docker compose down > /dev/null 2>&1

═══ 1. docker inspect ═══
   DB_PASSWORD=супер-секретный-пароль
═══ 2. /proc/1/environ внутри container ═══
  DB_PASSWORD=супер-секретный-пароль
═══ 3. docker compose config ═══
        DB_PASSWORD: супер-секретный-пароль
═══ 4. наследование дочерним процессом ═══
  потомок видит: супер-секретный-пароль
═══ 5. виден даже после остановки ═══
   DB_PASSWORD=супер-секретный-пароль

cd /tmp/envsec
mkdir -p secrets
echo -n "супер-секретный-пароль" > secrets/db_password.txt
chmod 600 secrets/db_password.txt

cat > compose.yaml <<'EOF'
name: envsec

services:
  safe:
    image: python:3.13-slim
    secrets:
      - db_password
      - source: api_key
        target: api-key
        mode: 0400
    command: ["sleep", "300"]

secrets:
  db_password:
    file: ./secrets/db_password.txt
  api_key:
    environment: API_KEY
EOF

API_KEY=ключ-из-окружения docker compose up -d > /dev/null 2>&1
sleep 2
cid="$(docker compose ps -q safe)"

echo "═══ 1. docker inspect ═══"
docker inspect "$cid" --format '{{range .Config.Env}}{{println .}}{{end}}' | grep -c 'db_password\|секретный' \
    | xargs printf '  упоминаний секрета в Env: %s\n'

echo "═══ 2. /proc/1/environ ═══"
docker compose exec -T safe sh -c "tr '\0' '\n' < /proc/1/environ | grep -c 'секретный'" \
    | xargs printf '  упоминаний в окружении процесса: %s\n'

echo "═══ 3. где секрет на самом деле ═══"
docker compose exec -T safe sh -c 'ls -l /run/secrets/' | sed 's/^/  /'

echo "═══ 4. чтение из приложения ═══"
docker compose exec -T safe python -c "
from pathlib import Path
pw = Path('/run/secrets/db_password').read_text()
key = Path('/run/secrets/api-key').read_text()
print(f'  пароль прочитан, длина: {len(pw)}')
print(f'  ключ прочитан:  {key}')
"

echo "═══ 5. docker compose config ═══"
API_KEY=ключ-из-окружения docker compose config | grep -A3 '^secrets:' | sed 's/^/  /'

docker compose down > /dev/null 2>&1

═══ 1. docker inspect ═══
  упоминаний секрета в Env: 0
═══ 2. /proc/1/environ ═══
  упоминаний в окружении процесса: 0
═══ 3. где секрет на самом деле ═══
  total 8
  -r--------    1 root     root            22 Jul 31 10:14 api-key
  -rw-------    1 root     root            22 Jul 31 10:14 db_password
═══ 4. чтение из приложения ═══
  пароль прочитан, длина: 22
  ключ прочитан:  ключ-из-окружения
═══ 5. docker compose config ═══
  secrets:
    api_key:
      environment: API_KEY
    db_password:
      file: /tmp/envsec/secrets/db_password.txt

cd /tmp/envsec
cat > compose.yaml <<'EOF'
name: envsec

services:
  db:
    image: postgres:17-alpine
    environment:
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
      POSTGRES_DB: appdb
    secrets:
      - db_password
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U postgres -d appdb"]
      interval: 2s
      retries: 20
      start_period: 10s

secrets:
  db_password:
    file: ./secrets/db_password.txt
EOF

docker compose up -d > /dev/null 2>&1
for _ in $(seq 40); do
    [ "$(docker compose ps --format '{{.Health}}' db)" = "healthy" ] && break
    sleep 1
done

echo "═══ база поднялась с паролем из файла ═══"
printf '  состояние: %s\n' "$(docker compose ps --format '{{.Health}}' db)"

echo "═══ пароля нет в переменных окружения ═══"
docker inspect "$(docker compose ps -q db)" --format '{{range .Config.Env}}{{println .}}{{end}}' \
    | grep -c 'секретный' | xargs printf '  упоминаний: %s\n'
docker inspect "$(docker compose ps -q db)" --format '{{range .Config.Env}}{{println .}}{{end}}' \
    | grep PASSWORD | sed 's/^/  /'

echo "═══ подключение с этим паролем работает ═══"
docker compose exec -T db sh -c '
    PGPASSWORD="$(cat /run/secrets/db_password)" psql -U postgres -d appdb -tAc "SELECT 1"
' | sed 's/^/  результат: /'

docker compose down -v > /dev/null 2>&1

═══ база поднялась с паролем из файла ═══
  состояние: healthy
═══ пароля нет в переменных окружения ═══
  упоминаний: 0
  POSTGRES_PASSWORD_FILE=/run/secrets/db_password
═══ подключение с этим паролем работает ═══
  результат: 1

cd /tmp/envsec
cat > config.py <<'PY'
"""Чтение конфигурации с поддержкой соглашения <VAR>_FILE."""
from __future__ import annotations

import os
from pathlib import Path


def get_secret(name: str, default: str | None = None) -> str | None:
    """Значение из <name>_FILE, затем из <name>, затем default.

    Приоритет у файла: если заданы оба, побеждает более безопасный источник.
    """
    file_var = f"{name}_FILE"
    path = os.environ.get(file_var)
    if path:
        try:
            return Path(path).read_text(encoding="utf-8").strip()
        except OSError as exc:
            raise RuntimeError(f"{file_var}={path}: не удалось прочитать ({exc})") from exc
    return os.environ.get(name, default)


if __name__ == "__main__":
    for var in ("DB_PASSWORD", "API_KEY", "MISSING"):
        value = get_secret(var)
        shown = f"{value[:3]}…({len(value)} симв.)" if value else "(нет)"
        source = "файл" if os.environ.get(f"{var}_FILE") else \
                 "переменная" if os.environ.get(var) else "—"
        print(f"  {var:<12} источник={source:<11} значение={shown}")
PY

cat > compose.yaml <<'EOF'
name: envsec

services:
  app:
    image: python:3.13-slim
    volumes:
      - ./config.py:/config.py:ro
    environment:
      DB_PASSWORD_FILE: /run/secrets/db_password     # безопасно
      API_KEY: "ключ-прямо-в-переменной"             # менее безопасно
    secrets:
      - db_password
    command: ["python", "/config.py"]

secrets:
  db_password:
    file: ./secrets/db_password.txt
EOF

docker compose run --rm -T app 2>/dev/null

  DB_PASSWORD  источник=файл        значение=суп…(22 симв.)
  API_KEY      источник=переменная  значение=клю…(23 симв.)
  MISSING      источник=—           значение=(нет)

cd /tmp/envsec
cat > .env.example <<'EOF'
# Скопируйте в .env и заполните значения.
# Файл .env в репозиторий НЕ коммитится.

# Обязательные
DB_PASSWORD=

# С умолчаниями
LOG_LEVEL=INFO
WEB_CONCURRENCY=2
IMAGE_TAG=3.13-slim
EOF

cat > .gitignore <<'EOF'
.env
secrets/
*.key
*.pem
EOF

echo "═══ что в репозитории ═══"
ls -a | grep -vE '^\.\.?$' | while read -r f; do
    if grep -qxF "$f" .gitignore 2>/dev/null || grep -qxF "$f/" .gitignore 2>/dev/null; then
        printf '  %-22s ← игнорируется\n' "$f"
    else
        printf '  %-22s   в репозитории\n' "$f"
    fi
done

echo "═══ проверка: нет ли секретов в compose.yaml ═══"
if grep -inE '(password|secret|token|api_?key)\s*:\s*["'"'"']?[A-Za-zА-Яа-я0-9]{6,}' compose.yaml; then
    echo "  ✗ найдены подозрительные значения"
else
    echo "  ✓ значений секретов в файле нет"
fi

cd /tmp && rm -rf /tmp/envsec

═══ что в репозитории ═══
  .env                     ← игнорируется
  .env.example               в репозитории
  .gitignore                 в репозитории
  compose.yaml               в репозитории
  config.py                  в репозитории
  secrets                  ← игнорируется
═══ проверка: нет ли секретов в compose.yaml ═══
  ✓ значений секретов в файле нет

mkdir -p /tmp/es/secrets && cd /tmp/es
echo -n "тайна" > secrets/s.txt
cat > compose.yaml <<'EOF'
name: es
services:
  a:
    image: alpine:3.21
    command: ["sh", "-c", "cat /run/secrets/s; echo"]
    secrets: [s]
secrets:
  s:
    file: ./secrets/s.txt
EOF
docker compose run --rm -T a
docker compose config | grep -A2 '^secrets:'
docker compose down
cd /tmp && rm -rf /tmp/es