How to generate a config.php during docker compose?

在云原生与微服务架构日益普及的今天，Docker Compose 已成为开发者快速编排多容器应用的首选工具。然而，一个长期困扰团队的问题始终存在：如何处理配置文件中的敏感信息与环境差异？尤其是当应用需要根据部署环境动态生成 config.php 时，如何在容器构建与启动过程中优雅地解决？本文将从实际需求出发，详细解析多种实现方案，并给出安全性建议。

为何要动态生成 config.php？

传统方式下，开发人员常将 config.php 直接打包进 Docker 镜像，但这种方式存在明显缺陷： - 环境耦合：开发、测试、生产环境的数据库地址、密钥等参数不同，镜像无法通用。 - 安全风险：硬编码密码、API Key 会随着镜像分发而泄露。 - 维护成本：每次参数变更都需要重新构建镜像。

动态生成意味着在容器启动时，根据环境变量或外部挂载的数据，实时写入配置文件。这样，同一镜像即可适配任意环境，实现“Build once, run anywhere”。

方案一：通过 Entrypoint 脚本结合环境变量

这是最流行且最可控的方案。核心思路是在 Dockerfile 中指定一个 entrypoint.sh 启动脚本，该脚本在容器运行时执行，利用 sed、envsubst 或 PHP 自身的 file_put_contents 函数将环境变量写入 config.php。

实现步骤

创建模板配置文件：例如 config.template.php，内含占位符如 {{DB_HOST}}。

<?php
return [
    'db_host' => '{{DB_HOST}}',
    'db_user' => '{{DB_USER}}',
    'db_pass' => '{{DB_PASS}}',
];

编写 entrypoint.sh：

#!/bin/sh
sed -e "s/{{DB_HOST}}/$DB_HOST/g" \
    -e "s/{{DB_USER}}/$DB_USER/g" \
    -e "s/{{DB_PASS}}/$DB_PASS/g" \
    /app/config.template.php > /app/config.php

exec "$@"

Dockerfile 中复制脚本并设置入口：

COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]
CMD ["php", "-S", "0.0.0.0:80"]

docker-compose.yml 中注入环境变量：

version: '3'
services:
  app:
    build: .
    environment:
      DB_HOST: mysql
      DB_USER: root
      DB_PASS: secret123

启动容器后，config.php 将自动生成并包含正确的值。

优点与注意事项

优点：逻辑清晰，兼容任何基础镜像；支持复杂的条件判断与字符串处理。
注意：需确保 sed 可用；避免在环境变量中包含特殊字符导致命令注入（建议使用 printf 或 PHP 脚本处理）。

方案二：利用 Docker Compose 的 `volumes` 与初始化容器

如果环境变量较多或希望复用已有配置文件，可考虑此方案。在 docker-compose.yml 中定义一个专门执行初始化任务的容器，运行后生成文件并挂载到主应用容器。

services:
  config-generator:
    image: alpine
    volumes:
      - shared-config:/config
    command: >
      sh -c "echo \"<?php return ['key'=>'value'];\" > /config/config.php"
  app:
    image: myapp
    volumes:
      - shared-config:/app/config
    depends_on:
      config-generator:
        condition: service_completed_successfully

volumes:
  shared-config:

这种方式适合一次性的配置生成，但需注意卷的生命周期管理。

方案三：使用 Docker Secrets 与管理工具

对于生产环境，尤其涉及敏感信息时，推荐利用 Docker Swarm 的 secrets 功能（Docker Compose 3.1+ 也支持）。将 secrets 挂载为文件，再通过 PHP 读取。

secrets:
  db_password:
    file: ./secrets/db_password.txt

services:
  app:
    image: myapp
    secrets:
      - db_password
    # 启动脚本读取 /run/secrets/db_password

然后在 entrypoint.sh 中可将 secret 内容写入 config.php：

DB_PASS=$(cat /run/secrets/db_password)
sed "s/{{DB_PASS}}/$DB_PASS/g" template > config.php

Docker Secrets 自动加密存储，仅在运行时解密，有效防止泄露。

性能与安全考量

避免在构建阶段生成：构建镜像时不应包含环境特定参数，否则镜像将失去可移植性。
日志安全：启动脚本中若使用 echo 输出环境变量，需确保日志不会被持久化。
使用配置文件预热：对于启动速度敏感的场景，可预先在镜像中生成默认配置，再由 entrypoint 根据环境变量选择性覆盖。

结语

动态生成 config.php 是容器化部署中不可或缺的一环。无论是简单的 sed 替换，还是结合 Docker Secrets 的工业级方案，核心原则始终是：配置文件的生命周期应属于运行时，而非构建时。建议开发者根据项目规模与安全要求，选择最适合的方案。对于大多数中小型项目，基于 Entrypoint 脚本的环境变量替换法已足够简洁可靠。而对于金融、医疗等强合规场景，务必采用 Secrets 或外部密钥管理服务。

当你在下一次 docker-compose up 时发现 config.php 已自动完美生成，便知这套机制的真正价值所在——它让容器真正做到了“一处构建，处处运行”。