如何让Docker中的GitHub App访问Go私有模块？

问题根源 #

你当前的Docker镜像仅配置了Git的SSH替代规则和GitHub主机指纹，但缺少访问私有仓库的有效凭证（SSH密钥或GitHub Token）；同时流水线中启动的SSH代理未传递到容器内部，导致容器无法利用主机的SSH密钥访问私有仓库。

推荐解决方案 #

方案1：运行容器时通过SSH代理转发（安全，无密钥入镜） #

利用主机的SSH代理套接字，让容器直接使用主机已认证的SSH会话，无需在镜像中存储密钥：

1. 确保运行容器的主机已启动SSH代理并添加了私有密钥（你的流水线中已完成此步骤）
2. 运行容器时挂载代理套接字并设置环境变量：

docker run \
  -v $SSH_AUTH_SOCK:/tmp/ssh_agent.sock \
  -e SSH_AUTH_SOCK=/tmp/ssh_agent.sock \
  <你的镜像标签>

3. 若主机SSH套接字权限限制非root用户访问，可添加--user $(id -u):$(id -g)参数（需确保容器内对应用户存在）

方案2：使用GitHub Token访问（更适配GitHub Actions环境） #

通过GitHub Token替代SSH密钥，无需配置SSH，权限更易管控：

1. 确保你的GITHUB_TOKEN拥有目标私有仓库的读取权限
2. 运行容器时传递环境变量并配置Git凭证：

docker run \
  -e GOPRIVATE=github.com/keploy \
  -e GITHUB_TOKEN=<你的GitHub Token> \
  <你的镜像标签> \
  /bin/sh -c "git config --global url.'https://${GITHUB_TOKEN}:x-oauth-basic@github.com/'.insteadOf 'https://github.com/' && go mod download"

或在Dockerfile中预先添加Git配置（无需每次运行容器执行）：

RUN git config --global url."https://\${GITHUB_TOKEN}:x-oauth-basic@github.com/".insteadOf "https://github.com/"

GitHub Actions流水线调整示例 #

若需在流水线中运行容器测试私有依赖访问，可添加以下步骤：

- name: Test private dependency access in container
  env:
    GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
  run: |
    docker run -e GOPRIVATE=github.com/keploy -e GITHUB_TOKEN=$GITHUB_TOKEN ${{ steps.meta.outputs.tags }} go mod download

注意事项 #

• 禁止将SSH密钥或GitHub Token打包进Docker镜像，避免凭证泄露
• 若需在构建镜像阶段拉取私有依赖（如Dockerfile中含RUN go mod download），需使用BuildKit的秘密挂载功能：

  - name: Build image with private dependencies
    uses: docker/build-push-action@v5
    with:
      context: .
      file: Dockerfile.agent
      secrets: |
        id=ssh,src=${SSH_AUTH_SOCK}
      build-args: |
        SSH_AUTH_SOCK=/run/secrets/ssh
  

  对应Dockerfile片段：

  ARG SSH_AUTH_SOCK
  ENV SSH_AUTH_SOCK=$SSH_AUTH_SOCK
  RUN --mount=type=secret,id=ssh,dst=$SSH_AUTH_SOCK go mod download
  

内容的提问来源于stack exchange，提问作者yash khare