JSBlog

Címke BuildKit

Docker

A build-arg nem tűnik el: így marad benne a titkos kulcs egy Docker image rétegeiben

Diagram: egy kulcs a felső, ARG/ENV-alapú soron benn marad az image rétegeiben és kiszivárog a nyilvános registrybe, míg az alsó, secret mountos soron a kulcs csak a build közben létezik, az image lezárt lakattal érkezik meg

Az ARG-ba vagy ENV-be tett API-token, npm-jelszó vagy AWS-kulcs nem tűnik el a buildel együtt: ott marad a docker history-ban, és publikus GitHub Actions build esetén a provenance attesztációban is. A BuildKit secret mount ezt oldja meg – hands-on kipróbálva, docker history-val és exportált réteggel is ellenőrizve.

Szabó Benjámin
2026.05.16.

Docker

A BuildKit cache mount begyorsítja a Docker npm installt – a legtöbb CI-futtatón mégsem marad meg belőle semmi

Diagram, amely összehasonlítja a Docker réteg-cache-t és a BuildKit cache mountot: bal oldalon egy megváltozott lockfile miatt érvénytelenné váló rétegek és a felhőbe visszamutató újratöltés, jobb oldalon egy különálló, buildek között megmaradó cache-tartály, amely az npm letöltési cache-ét tárolja.

A RUN --mount=type=cache kiveszi az npm letöltési cache-ét a Docker rétegek alól, így egy lockfile-változás sem dobja el a már letöltött csomagokat. Csak épp a legtöbb hosted CI-futtatón minden build friss gépen indul – ott ez a trükk önmagában nem sokat ér.

Szabó Benjámin
2026.03.17.