Почему нельзя хранить пароли прямо в docker-compose.yml?

Когда вы указываете пароли от MySQL или секретные ключи API прямо в файле docker-compose.yml, возникает серьезный риск утечки: при отправке проекта в репозиторий GitHub или GitLab ваши секреты становятся доступны посторонним. Правильный и безопасный подход — выносить все конфиденциальные параметры в отдельный скрытый файл .env.

Пошаговая настройка файла .env в Docker Compose

1. Создайте файл .env в папке проекта:
   Файл должен находиться в том же каталоге, что и ваш docker-compose.yml.

   nano .env

2. Заполните переменные в формате КЛЮЧ=ЗНАЧЕНИЕ:

   MYSQL_ROOT_PASSWORD=SuperSecretPass123
   MYSQL_DATABASE=my_shop
   MYSQL_USER=shop_user
   MYSQL_PASSWORD=ShopUserPass456
   PORT=8080

3. Подключите переменные в docker-compose.yml:

   version: '3.8'
   services:
     db:
       image: mysql:8.0
       restart: always
       environment:
         MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD}
         MYSQL_DATABASE: ${MYSQL_DATABASE}
         MYSQL_USER: ${MYSQL_USER}
         MYSQL_PASSWORD: ${MYSQL_PASSWORD}
       ports:
         - "${PORT}:3306"

4. Запустите контейнеры:

   docker compose up -d

   Docker Compose автоматически найдет файл .env и подставит значения в конструкцию ${...}.