Cómo ocultar la contraseña de Mysql en un docker-compose usando env_file

No hay necesidad de un archivo env. Si usa solo el nombre de la variable en la ventana acoplable, componga environment definición, su valor se transferirá automáticamente desde su host al contenedor:

services:
  db:
    image: "mysql:5.7"
    ports: ['3306:3306']
    environment:
      MYSQL_ROOT_PASSWORD: 

De la documentación :

Si por alguna razón desea o necesita usar un archivo env, también puede:

services:
  db:
    image: "mysql:5.7"
    ports: ['3306:3306']
    env_file:
    - production.env

y en tu production.env archivo (o como lo llames), simplemente coloca líneas de key=value :

MYSQL_ROOT_PASSWORD=7op-s3cr37

Consulte también La opción de configuración “env_file” .