Docker容器中Go Mod下载SSH专属嵌套GitLab私有模块失败求助

我在Docker容器中构建Go应用，依赖GitLab私有仓库下3-4层嵌套子组中的Go私有模块，这些仓库仅支持SSH访问，不能用HTTPS克隆。

已经尝试过添加SSH密钥、创建.netrc文件等方法都没用，现在用BuildKit的SSH挂载模式（--mount=type=ssh），容器里能正常git clone仓库，但go mod download就是执行失败。

当前的Dockerfile和构建命令如下：

#syntax=docker/dockerfile:experimental

#Specify the go version image
FROM golang:1.23.2 AS build-stage

# setup Git & SSH (for getting dependencies)
RUN apt-get update && apt-get install -y git openssh-client

RUN git config --global url."git@gitlab.com:".insteadOf "https://gitlab.com/"
RUN mkdir -p /root/.ssh && \
    ssh-keyscan gitlab.com >> /root/.ssh/known_hosts
RUN export GIT_SSH_COMMAND='ssh -i ~/.ssh/id_rsa -o StrictHostKeyChecking=no'

ENV GOPRIVATE=gitlab.com/myorg/*

WORKDIR /

COPY dummy/go.mod dummy/go.sum ./

RUN --mount=type=ssh git clone git@gitlab.com:myorg/group/repo.git /tmp/test-repo

RUN --mount=type=ssh GOLOG=debug go mod download -x

... rest omitted 

构建命令：

docker build --ssh default  -t  tag:test -f Dockerfile.multistage .

问题分析 #

核心问题出在环境变量作用域和Go模块命令的SSH配置继承上：

• RUN export GIT_SSH_COMMAND=...仅在当前RUN的shell进程中生效，后续的go mod download无法读取这个变量
• Go的go mod拉取私有模块时，需要确保Git的URL替换规则、SSH命令配置全局生效，同时GOPRIVATE要正确覆盖所有嵌套子组

解决方案 #

修改后的Dockerfile：

# syntax=docker/dockerfile:experimental
FROM golang:1.23.2 AS build-stage

# 安装Git和SSH客户端，清理apt缓存减小镜像体积
RUN apt-get update && apt-get install -y git openssh-client && rm -rf /var/lib/apt/lists/*

# 全局配置Git：将所有GitLab的HTTPS路径替换为SSH路径，覆盖嵌套子组
RUN git config --global url."git@gitlab.com:".insteadOf "https://gitlab.com/"

# 生成GitLab主机密钥，避免首次连接的交互提示
RUN mkdir -p /root/.ssh && ssh-keyscan gitlab.com >> /root/.ssh/known_hosts

# 设置全局环境变量，让Go和Git进程都能读取到
ENV GIT_SSH_COMMAND='ssh -o StrictHostKeyChecking=no'
# 告诉Go这些私有模块不走公共代理
ENV GOPRIVATE=gitlab.com/myorg/*
# 禁止Go查询私有模块的公共校验和数据库
ENV GONOSUMDB=gitlab.com/myorg/*

WORKDIR /app

# 先拷贝依赖文件，利用Docker缓存
COPY dummy/go.mod dummy/go.sum ./

# 挂载SSH密钥执行go mod download
RUN --mount=type=ssh go mod download -x

# 后续构建步骤...

关键调整点 #

1. 用ENV声明全局环境变量：代替RUN export，确保go mod命令能读取到SSH配置
2. 简化SSH命令：--mount=type=ssh会自动挂载密钥到默认路径，无需手动指定-i ~/.ssh/id_rsa
3. 添加GONOSUMDB：避免Go尝试从公共sum数据库查询私有模块，减少错误
4. 规范工作目录：用/app代替根目录，符合常规项目结构

额外注意事项 #

• 确保本地SSH代理正在运行（eval $(ssh-agent)），且已添加对应私钥（ssh-add ~/.ssh/id_rsa）
• 如果使用非默认路径的SSH密钥，构建命令需指定路径：docker build --ssh default=/path/to/your/key -t tag:test -f Dockerfile.multistage .
• 确认go.mod中私有模块的引用路径与GitLab仓库地址完全一致

内容的提问来源于stack exchange，提问作者Rrr