Lingarr环境变量与Docker Secrets安全配置与密钥管理的最佳实践【免费下载链接】lingarrLingarr is an application that supports both local and SaaS translation services to translate subtitle files into a specified target language. With automated translation options, Lingarr simplifies translating subtitles.项目地址: https://gitcode.com/gh_mirrors/li/lingarrLingarr 是一款强大的字幕翻译工具支持本地与 SaaS 翻译服务可将字幕文件自动翻译成目标语言。作为自托管应用Lingarr 需要管理数据库密码、OpenAI 与 DeepL 等翻译服务的 API 密钥这些敏感信息一旦泄露轻则被刷爆额度重则危及整台服务器。本文将为你完整梳理Lingarr 环境变量的分类与用法并给出Docker Secrets 密钥管理的最佳实践让字幕翻译服务在安全的前提下稳定运行。为什么密钥安全配置如此重要很多用户习惯直接把 API Key 写死在docker-compose.yml或.env文件中。一旦仓库被公开、文件被误分享或容器日志被查看密钥就全部暴露。对于 Lingarr 这类需要接入多个 AI 翻译服务OpenAI、Anthropic、Gemini、DeepSeek、Mistral 等的字幕翻译工具密钥即金钱安全配置绝不是可选项。好消息是Lingarr 原生支持Docker Secrets机制任何环境变量都可以通过追加_FILE后缀改为从文件中读取这正是官方推荐的安全配置方式。Lingarr 环境变量全景图Lingarr 的配置以环境变量为主完整清单见项目文档 Settings.MD 与 configuration.md。下面按类别整理最常用的变量数据库类环境变量变量说明DB_CONNECTION数据库类型mysql、postgresql或sqliteDB_HOST/DB_PORT数据库地址与端口DB_DATABASE数据库名称DB_USERNAME/DB_PASSWORD数据库账号与密码SQLITE_DB_PATHSQLite 文件路径默认在/app/config/数据库连接串由 DatabaseConfiguration.cs 根据上述变量动态拼装其中DB_PASSWORD默认值是Secret1234生产环境务必修改。翻译服务类环境变量服务密钥变量模型变量OpenAIOPENAI_API_KEYOPENAI_MODELAnthropicANTHROPIC_API_KEYANTHROPIC_MODELGeminiGEMINI_API_KEYGEMINI_MODELDeepSeekDEEPSEEK_API_KEYDEEPSEEK_MODELMistralMISTRAL_API_KEYMISTRAL_MODELxAIXAI_API_KEYXAI_MODELLocalAILOCAL_AI_API_KEYLOCAL_AI_MODELDeepLDEEPL_API_KEY—LibreTranslateLIBRE_TRANSLATE_API_KEY—集成与其他变量RADARR_URL/RADARR_API_KEYRadarr 集成SONARR_URL/SONARR_API_KEYSonarr 集成AUTH_ENABLED是否启用登录认证ENCRYPTION_KEYS加密密钥存储路径TELEMETRY_ENABLED是否开启匿名遥测环境变量与文件读取的优先级规则Lingarr 在启动时通过 StartupService.cs 的ApplySettingsFromEnvironment方法将所有环境变量写入数据库设置先检查变量名_FILE指向的文件文件不存在或为空时回退到同名环境变量当两者同时存在时_FILE优先。这意味着你可以在 compose 文件中同时保留变量与 secrets 引用程序会自动选择更安全的文件来源。Docker Secrets 配置步骤最快配置方法下面以 OpenAI API Key 为例演示完整的 Docker Secrets 配置流程。第一步创建密钥文件在宿主机创建 secrets 目录写入密钥内容文件内不要有多余换行mkdir -p ./secrets printf %s sk-your-openai-key ./secrets/openai_api_key.txt第二步编写安全的 docker-compose 配置services: lingarr: image: lingarr/lingarr:latest container_name: lingarr restart: unless-stopped environment: - ASPNETCORE_URLShttp://:9876 - DB_CONNECTIONmysql - DB_HOSTlingarr-db - DB_PORT3306 - DB_DATABASElingarr - DB_USERNAMElingarr # 通过 secrets 文件注入避免明文 - DB_PASSWORD_FILE/run/secrets/db_password - OPENAI_API_KEY_FILE/run/secrets/openai_api_key - SERVICE_TYPEopenai secrets: - db_password - openai_api_key ports: - 9876:9876 volumes: - /path/to/media:/media - /path/to/config:/app/config depends_on: lingarr-db: condition: service_healthy lingarr-db: image: mariadb:latest restart: unless-stopped environment: - MYSQL_DATABASElingarr - MYSQL_USERlingarr # 数据库侧同样使用 secrets - MYSQL_PASSWORD_FILE/run/secrets/db_password - MYSQL_ROOT_PASSWORD_FILE/run/secrets/db_root_password secrets: - db_password - db_root_password volumes: - /path/to/db:/var/lib/mysql healthcheck: test: mariadb $$MYSQL_DATABASE -u$$MYSQL_USER -p$$MYSQL_PASSWORD -e SELECT 1; secrets: db_password: file: ./secrets/db_password.txt db_root_password: file: ./secrets/db_root_password.txt openai_api_key: file: ./secrets/openai_api_key.txt第三步启动并验证docker compose up -d启动后进入容器确认密钥已正确加载docker exec -it lingarr ls -l /run/secrets/哪些变量适合用 Docker Secrets根据 Lingarr 的环境变量体系建议将以下高敏变量全部改为_FILE注入变量风险等级建议DB_PASSWORD 高必须使用 secretsOPENAI_API_KEY等 AI 密钥 高必须使用 secretsDEEPL_API_KEY 高必须使用 secretsRADARR_API_KEY/SONARR_API_KEY 中强烈建议LIBRE_TRANSLATE_API_KEY 中强烈建议MODEL、URL类配置 低可用普通环境变量更多安全加固技巧1. 以非 root 用户运行容器Docker 支持指定运行用户减少容器逃逸风险services: lingarr: user: 1000:1000 # UID:GID2. 妥善管理宿主机密钥文件secrets 目录权限收紧chmod 600 ./secrets/*.gitignore中排除secrets/和.env定期轮换密钥并重启容器3. 启用 Lingarr 内置认证设置AUTH_ENABLEDtrue并通过ENCRYPTION_KEYS指定加密密钥存储路径为 Web 界面加一道锁。4. 参考开发环境配置项目自带的 docker-compose.dev.yml 展示了完整的变量写法注意其中的密码仅为开发占位符切勿照搬到生产。常见问题Q_FILE变量和普通变量同时设置了怎么办ALingarr 优先读取_FILE指向的文件内容普通变量被忽略。Qsecrets 文件内容带换行会影响配置吗A不会。Lingarr 读取时会自动去掉首尾换行见ReadFromFileEnv实现。Q不升级 Docker 版本能使用 secrets 吗ADocker Compose v2 及以上均支持本地部署建议使用docker compose子命令而非旧的docker-compose。总结通过环境变量 Docker Secrets 的组合Lingarr 的字幕翻译服务可以做到配置即代码、密钥不入库。记住三个要点所有 API 密钥和数据库密码改用_FILE注入、宿主密钥文件严格限权、定期轮换。按照本文的最佳实践配置你就能在享受 Lingarr 自动化字幕翻译便利的同时守住安全底线。【免费下载链接】lingarrLingarr is an application that supports both local and SaaS translation services to translate subtitle files into a specified target language. With automated translation options, Lingarr simplifies translating subtitles.项目地址: https://gitcode.com/gh_mirrors/li/lingarr创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Lingarr环境变量与Docker Secrets：安全配置与密钥管理的最佳实践
Lingarr环境变量与Docker Secrets安全配置与密钥管理的最佳实践【免费下载链接】lingarrLingarr is an application that supports both local and SaaS translation services to translate subtitle files into a specified target language. With automated translation options, Lingarr simplifies translating subtitles.项目地址: https://gitcode.com/gh_mirrors/li/lingarrLingarr 是一款强大的字幕翻译工具支持本地与 SaaS 翻译服务可将字幕文件自动翻译成目标语言。作为自托管应用Lingarr 需要管理数据库密码、OpenAI 与 DeepL 等翻译服务的 API 密钥这些敏感信息一旦泄露轻则被刷爆额度重则危及整台服务器。本文将为你完整梳理Lingarr 环境变量的分类与用法并给出Docker Secrets 密钥管理的最佳实践让字幕翻译服务在安全的前提下稳定运行。为什么密钥安全配置如此重要很多用户习惯直接把 API Key 写死在docker-compose.yml或.env文件中。一旦仓库被公开、文件被误分享或容器日志被查看密钥就全部暴露。对于 Lingarr 这类需要接入多个 AI 翻译服务OpenAI、Anthropic、Gemini、DeepSeek、Mistral 等的字幕翻译工具密钥即金钱安全配置绝不是可选项。好消息是Lingarr 原生支持Docker Secrets机制任何环境变量都可以通过追加_FILE后缀改为从文件中读取这正是官方推荐的安全配置方式。Lingarr 环境变量全景图Lingarr 的配置以环境变量为主完整清单见项目文档 Settings.MD 与 configuration.md。下面按类别整理最常用的变量数据库类环境变量变量说明DB_CONNECTION数据库类型mysql、postgresql或sqliteDB_HOST/DB_PORT数据库地址与端口DB_DATABASE数据库名称DB_USERNAME/DB_PASSWORD数据库账号与密码SQLITE_DB_PATHSQLite 文件路径默认在/app/config/数据库连接串由 DatabaseConfiguration.cs 根据上述变量动态拼装其中DB_PASSWORD默认值是Secret1234生产环境务必修改。翻译服务类环境变量服务密钥变量模型变量OpenAIOPENAI_API_KEYOPENAI_MODELAnthropicANTHROPIC_API_KEYANTHROPIC_MODELGeminiGEMINI_API_KEYGEMINI_MODELDeepSeekDEEPSEEK_API_KEYDEEPSEEK_MODELMistralMISTRAL_API_KEYMISTRAL_MODELxAIXAI_API_KEYXAI_MODELLocalAILOCAL_AI_API_KEYLOCAL_AI_MODELDeepLDEEPL_API_KEY—LibreTranslateLIBRE_TRANSLATE_API_KEY—集成与其他变量RADARR_URL/RADARR_API_KEYRadarr 集成SONARR_URL/SONARR_API_KEYSonarr 集成AUTH_ENABLED是否启用登录认证ENCRYPTION_KEYS加密密钥存储路径TELEMETRY_ENABLED是否开启匿名遥测环境变量与文件读取的优先级规则Lingarr 在启动时通过 StartupService.cs 的ApplySettingsFromEnvironment方法将所有环境变量写入数据库设置先检查变量名_FILE指向的文件文件不存在或为空时回退到同名环境变量当两者同时存在时_FILE优先。这意味着你可以在 compose 文件中同时保留变量与 secrets 引用程序会自动选择更安全的文件来源。Docker Secrets 配置步骤最快配置方法下面以 OpenAI API Key 为例演示完整的 Docker Secrets 配置流程。第一步创建密钥文件在宿主机创建 secrets 目录写入密钥内容文件内不要有多余换行mkdir -p ./secrets printf %s sk-your-openai-key ./secrets/openai_api_key.txt第二步编写安全的 docker-compose 配置services: lingarr: image: lingarr/lingarr:latest container_name: lingarr restart: unless-stopped environment: - ASPNETCORE_URLShttp://:9876 - DB_CONNECTIONmysql - DB_HOSTlingarr-db - DB_PORT3306 - DB_DATABASElingarr - DB_USERNAMElingarr # 通过 secrets 文件注入避免明文 - DB_PASSWORD_FILE/run/secrets/db_password - OPENAI_API_KEY_FILE/run/secrets/openai_api_key - SERVICE_TYPEopenai secrets: - db_password - openai_api_key ports: - 9876:9876 volumes: - /path/to/media:/media - /path/to/config:/app/config depends_on: lingarr-db: condition: service_healthy lingarr-db: image: mariadb:latest restart: unless-stopped environment: - MYSQL_DATABASElingarr - MYSQL_USERlingarr # 数据库侧同样使用 secrets - MYSQL_PASSWORD_FILE/run/secrets/db_password - MYSQL_ROOT_PASSWORD_FILE/run/secrets/db_root_password secrets: - db_password - db_root_password volumes: - /path/to/db:/var/lib/mysql healthcheck: test: mariadb $$MYSQL_DATABASE -u$$MYSQL_USER -p$$MYSQL_PASSWORD -e SELECT 1; secrets: db_password: file: ./secrets/db_password.txt db_root_password: file: ./secrets/db_root_password.txt openai_api_key: file: ./secrets/openai_api_key.txt第三步启动并验证docker compose up -d启动后进入容器确认密钥已正确加载docker exec -it lingarr ls -l /run/secrets/哪些变量适合用 Docker Secrets根据 Lingarr 的环境变量体系建议将以下高敏变量全部改为_FILE注入变量风险等级建议DB_PASSWORD 高必须使用 secretsOPENAI_API_KEY等 AI 密钥 高必须使用 secretsDEEPL_API_KEY 高必须使用 secretsRADARR_API_KEY/SONARR_API_KEY 中强烈建议LIBRE_TRANSLATE_API_KEY 中强烈建议MODEL、URL类配置 低可用普通环境变量更多安全加固技巧1. 以非 root 用户运行容器Docker 支持指定运行用户减少容器逃逸风险services: lingarr: user: 1000:1000 # UID:GID2. 妥善管理宿主机密钥文件secrets 目录权限收紧chmod 600 ./secrets/*.gitignore中排除secrets/和.env定期轮换密钥并重启容器3. 启用 Lingarr 内置认证设置AUTH_ENABLEDtrue并通过ENCRYPTION_KEYS指定加密密钥存储路径为 Web 界面加一道锁。4. 参考开发环境配置项目自带的 docker-compose.dev.yml 展示了完整的变量写法注意其中的密码仅为开发占位符切勿照搬到生产。常见问题Q_FILE变量和普通变量同时设置了怎么办ALingarr 优先读取_FILE指向的文件内容普通变量被忽略。Qsecrets 文件内容带换行会影响配置吗A不会。Lingarr 读取时会自动去掉首尾换行见ReadFromFileEnv实现。Q不升级 Docker 版本能使用 secrets 吗ADocker Compose v2 及以上均支持本地部署建议使用docker compose子命令而非旧的docker-compose。总结通过环境变量 Docker Secrets 的组合Lingarr 的字幕翻译服务可以做到配置即代码、密钥不入库。记住三个要点所有 API 密钥和数据库密码改用_FILE注入、宿主密钥文件严格限权、定期轮换。按照本文的最佳实践配置你就能在享受 Lingarr 自动化字幕翻译便利的同时守住安全底线。【免费下载链接】lingarrLingarr is an application that supports both local and SaaS translation services to translate subtitle files into a specified target language. With automated translation options, Lingarr simplifies translating subtitles.项目地址: https://gitcode.com/gh_mirrors/li/lingarr创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考