Docker tmpfs挂载的核心价值是保障敏感数据仅驻留内存、容器停止即彻底清除、绝不落盘。它通过--tmpfs指定路径与noexec,nosuid,nodev,size=等参数实现安全隔离，适用于证书、密钥、令牌等临时敏感数据，且生命周期严格绑定容器。
在不需要持久化的敏感数据场景中，docker tmpfs 挂载的核心价值是：让密钥、令牌、证书等敏感内容只存在于内存，容器一停就彻底消失，绝不落盘。这比写进镜像、挂载主机文件或用普通 volume 安全得多。
关键使用原则
- 数据必须是临时的、可丢弃的
- 容器生命周期即数据生命周期
- 主机必须是 Linux（Windows/macOS 的 Docker Desktop 不支持原生 tmpfs）
典型敏感数据挂载路径与配置
- /run/secrets：适合 Docker Swarm secrets 注入后二次隔离（如限制执行权限） - /var/run/secrets：常见于 Kubernetes Secret 挂载后的加固处理 - /app/config 或 /etc/tls：存放运行时解密出的 TLS 私钥、API 令牌等 - /tmp 或 /dev/shm：临时生成的会话密钥、加密中间态数据安全挂载命令写法（推荐带完整防护选项）
```bash docker run -d \ --name secure-app \ --tmpfs /etc/tls:rw,noexec,nosuid,nodev,size=8m \ --tmpfs /run/secrets:ro,noexec,nosuid,nodev,size=2m \ -e SECRET_ENV=xxx \ my-secure-image:latest ``` 说明： - rw / ro：根据用途选读写或只读，证书目录建议 ro - noexec：禁止执行任何二进制，防恶意代码利用挂载点 - nosuid：忽略 setuid/setgid，避免提权风险 - nodev：禁止创建设备文件，减少攻击面 - size=：必须设上限（如 2m、16m），防止应用异常写入耗尽主机内存配合敏感数据注入的实用流程
- 启动前，把密钥文件通过 `--secret`（Swarm）或 `-v /host/secret:/run/secrets/mykey:ro`（单机）注入 - 容器启动后，由入口脚本将密钥从 `/run/secrets/` 安全复制到 tmpfs 路径（如 `/etc/tls/key.pem`） - 应用只从 tmpfs 路径读取，不接触原始挂载点 - 容器退出，整个 tmpfs 内容随内存释放，无残留哪些情况不能用 tmpfs？
- 需要跨容器共享密钥（tmpfs 是容器独占的） - 数据需在容器重启后保留（应改用加密 volume + runtime 解密） - 应用本身会反复重写大文件（可能触发 swap，影响性能和稳定性）不复杂但容易忽略：只要涉及密钥、token、私钥的运行时加载，且不需持久，tmpfs 就是最轻量又最可靠的选择。
