Как убрать пароли в переменных окружения DockerCompose.yml?

Есть docker-compose.yml и в нем переменные Env с паролями для базы данных mysql в этом контейнере. сам docker-compose.yml лежит в git. соответственно если скомпроментируют git тогда скомпроментируют весь продакшен. как сделать так чтобы пароль не пришлось хранить в git первое что приходит в голову какой нибудь скрипт в entrypoint который будет брать его с другого места. но опять же как он работает будет и соответственно можно будет повторить вручную.