Docker化Go REST API无法连接MongoDB Atlas证书问题求助

问题核心 #

本地用go run .运行Go REST API时连接MongoDB Atlas正常，但Docker化后出现x509: certificate signed by unknown authority错误，本质是Docker镜像缺少验证SSL证书所需的根CA证书，而本地系统已预装这些证书。

解决方案 #

方案1：给Docker镜像安装CA证书（推荐） #

如果使用Alpine这类轻量基础镜像，需要手动安装ca-certificates包；若使用Debian/Ubuntu系的基础镜像，通常已自带完整CA证书，无需额外操作。

示例Dockerfile（Alpine镜像）

# 构建阶段
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o main .

# 运行阶段
FROM alpine:latest
WORKDIR /root/
COPY --from=builder /app/main .
# 安装根CA证书
RUN apk add --no-cache ca-certificates
EXPOSE 8080
CMD ["./main"]

示例Dockerfile（Debian镜像）

Debian系镜像（如golang:1.21-bookworm）默认包含CA证书，直接构建即可：

FROM golang:1.21-bookworm
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN go build -o main .
EXPOSE 8080
CMD ["./main"]

方案2：代码中指定CA证书（仅特殊场景使用） #

下载MongoDB Atlas的根CA证书，打包到镜像中，在代码中配置TLS加载该证书：

import (
    "crypto/tls"
    "crypto/x509"
    "os"
    "go.mongodb.org/mongo-driver/mongo/options"
)

func initMongo() {
    mongoURI := os.Getenv("MONGO_URI")
    clientOptions := options.Client().ApplyURI(mongoURI)
    
    // 加载CA证书
    caCert, err := os.ReadFile("/app/ca-cert.pem")
    if err != nil {
        panic(err)
    }
    certPool := x509.NewCertPool()
    certPool.AppendCertsFromPEM(caCert)
    
    clientOptions.SetTLSConfig(&tls.Config{
        RootCAs: certPool,
    })
    
    // 后续连接逻辑...
}

同时在Dockerfile中添加证书复制步骤：

COPY ./ca-cert.pem /app/ca-cert.pem

注意事项 #

• 禁止禁用证书验证：不要在生产环境使用tlsInsecure=true（连接字符串中添加&tlsInsecure=true），这会完全跳过SSL证书验证，带来严重安全风险。
• 确认连接字符串正确性：确保连接字符串包含ssl=true（Atlas默认启用），且用户名、密码、集群地址无误。

内容的提问来源于stack exchange，提问作者user_pruser