不建议在Dockerfile中用ADD下载远程敏感资源，因其会将含凭证的URL固化进镜像层；应改用BuildKit --secret或多阶段构建预下载并COPY。
不建议在 Dockerfile 中使用 ADD 指令直接下载远程敏感资源（如含 API 密钥、凭据、内部构件的 URL），因为该操作会将下载命令及可能暴露的凭证固化进镜像层，导致安全风险和审计困难。
敏感资源不该出现在构建上下文或指令参数中
ADD <url><dest></dest></url> 虽支持远程 URL，但 URL 若含临时 token、签名参数或基础认证（如 https://user:pass@internal.example.com/secret.jar），这些信息会完整保留在镜像历史中，任意拉取镜像者均可通过 docker history 或解压 layer 查看。即使 token 时效很短，镜像一旦生成即“快照化”，敏感性不随 token 过期而消失。
- 避免在 URL 中拼接凭证，包括 query 参数里的
?token=xxx或&sig=yyy - 禁止将含密 URL 写死在 Dockerfile 中——它不属于可版本化、可审计的配置项
- 不要依赖构建时环境变量注入 URL（如
ADD ${DOWNLOAD_URL} /app/），ARG 值仍会出现在构建缓存与历史中
推荐替代方案：多阶段构建 + 构建时凭据隔离
利用 BuildKit 的 --secret 机制，在构建阶段安全挂载凭据，配合 curl 或 wget 下载，且确保敏感内容绝不写入最终镜像。
- 启用 BuildKit：
DOCKER_BUILDKIT=1 docker build ... - 在 Dockerfile 中用
RUN --mount=type=secret,id=mytoken ... curl --header "Authorization: Bearer $(cat /run/secrets/mytoken)" https://api.example.com/secret.bin > /tmp/secret.bin - 仅在当前 RUN 指令中访问 secret，不会留存到镜像文件系统；后续层无法读取
- 配合多阶段构建，把下载、解压、校验等操作放在 builder 阶段，只
COPY --from=builder最终所需文件到运行镜像
更稳妥做法：由 CI/CD 预下载并注入构建上下文
将敏感资源的获取逻辑移出 Docker 构建流程，在 CI 环境中完成鉴权下载、哈希校验、本地暂存，再作为普通文件纳入构建上下文（. 目录），最后用 COPY 加载。
- CI 脚本中用服务账户或短期 token 下载资源，并验证 SHA256，失败则中断构建
- 将文件放入源码同级临时目录（如
./build-assets/secret-config.yaml），并在.dockerignore中排除其他敏感文件 - Dockerfile 中仅写
COPY build-assets/secret-config.yaml /app/config/，无网络操作、无明文凭据 - 该方式完全规避构建时网络依赖和凭据传递，适合强合规场景（如金融、政务）
若必须用 ADD 远程 URL，请满足三个前提
仅当资源完全公开、无任何身份约束、且 URL 不含任何可推断权限的信息时，才可谨慎使用 ADD。例如公开 CDN 上的开源库压缩包。
- URL 必须是静态、无参数、无签名的地址（如
https://example.com/lib/v1.2.0.zip） - 需在构建前人工确认该资源未被劫持、证书有效、域名归属可信
- 建议改用
curl -fLsS | tar -xzf - -C /dest替代ADD，便于添加-v或校验逻辑，也更易调试
