Kaniko и Buildah позволяет передавать аргументы через CLI (причём их

можно вычитывать из переменных окружения) например:

/kaniko/executor
...
--build-arg COMPOSER_AUTH_CONFIG="$COMPOSER_AUTH_CONFIG"
...

Для werf я нашёл в документации только возможность передать аргумент определив словарь args: в werf.yaml, но хочется передавать аргумент на лету из переменной окружения, чтобы не хранить его в репозитории.

Попробовал сделать так:
...
---
image: php8.2-app
dockerfile: Dockerfile
args:
COMPOSER_AUTH_CONFIG: "$COMPOSER_AUTH_CONFIG"

Но к успеху не пришёл - переменная не резолвится и добавляется в сборочный контейнер прямо в таком виде COMPOSER_AUTH_CONFIG=$COMPOSER_AUTH_CONFIG...

В werf build --help подходящих опций не нашёл.

Мне надо добавить в сборочный контейнер ~/.composer/auth.json - как это правильно сделать?

Да