Docker 构建中可通过 SSH Agent Forwarding + 多阶段构建安全拉取私有 Git 仓库：宿主机需配置好 ssh-agent 和 ~/.ssh/config（含 ForwardAgent yes），构建时启用 DOCKER_BUILDKIT=1 并使用 --ssh default，Dockerfile 中用 RUN --mount=type=ssh,id=default 执行 SSH 格式 git clone，确保镜像含 git 和 openssh-client。
在 Docker 构建过程中拉取私有 Git 仓库（如 GitHub、GitLab、自建 Gitee 或内部 Git）时，不能直接用密码或交互式 SSH 认证。但可以通过 SSH Agent Forwarding + 多阶段构建 + 正确的 SSH 配置 实现无密码、安全、可复用的私有源码拉取。
前提：宿主机已配置好可用的 SSH 密钥对
确保你的构建机（即运行 docker build 的机器）已生成并添加了 SSH 密钥到 ssh-agent，且该密钥已被授权访问目标私有仓库：
- 运行
ssh-add -l确认密钥已加载 - 确认
~/.ssh/config中为私有仓库设置了 Host 别名（例如gitlab.internal），并启用ForwardAgent yes - 测试本地能直接
git clone git@gitlab.internal:user/repo.git
构建时启用 SSH Agent 转发（关键步骤）
Docker 20.10+ 原生支持 --ssh 构建参数，无需挂载 ~/.ssh 目录（不安全），也不依赖 DOCKER_BUILDKIT=1 以外的额外配置（但需开启 BuildKit）：
- 构建命令中加入
--ssh default（默认转发当前 ssh-agent） - 示例：
DOCKER_BUILDKIT=1 docker build --ssh default -t myapp . - 若使用自定义 agent socket，可指定路径如
--ssh id_rsa=/path/to/sock
Dockerfile 中正确使用 SSH 拉取代码
在 Dockerfile 的构建阶段（尤其是 builder 阶段），通过 RUN --mount=type=ssh 挂载 SSH socket，并在 shell 环境中启用 Git 的 SSH 协议：
FROM golang:1.22-alpine AS builder # 启用 SSH mount，仅限该 RUN 指令生效 RUN --mount=type=ssh,id=default git clone git@gitlab.internal:user/private-repo.git /src/private-repo <p>FROM alpine:latest COPY --from=builder /src/private-repo /app/ CMD ["sh"]
-
id=default必须与--ssh default中的标识一致 - Git URL 必须是 SSH 格式（
git@host:path.git），不能是 HTTPS - 确保基础镜像含
git和openssh-client（Alpine 需apk add --no-cache git openssh-client）
进阶：适配不同 Git 主机或免 HostKey 检查
若遇到 “Host key verification failed”，可在挂载 SSH 的同时注入自定义 ~/.ssh/config 或临时禁用检查（仅限可信内网）：
- 方法一（推荐）：构建时挂载配置文件：
--ssh config=/path/to/ssh_config，并在 Dockerfile 中--mount=type=ssh,id=config - 方法二（谨慎）：在
RUN中临时设置：env GIT_SSH_COMMAND="ssh -o StrictHostKeyChecking=no" git clone ... - 避免硬编码密钥、避免 COPY ~/.ssh/id_rsa —— 这会污染镜像且违反最小权限原则
