Valeu, Oletros. O .env é exatamente onde meu container também vaza: o projeto precisa dele pra rodar, então isolamento externo não resolve sozinho, por isso fui pro deny de leitura. E o dilema do "/loop e voltar depois" é real: quanto mais autonomia eu quero, menor tem que ser a superfície que eu deixo aberta.