如何让Gradle JDK Docker镜像信任自签名SSL证书

本地MacOS Ventura环境执行gradle build正常，但通过Docker Compose使用gradle:7.6.4-jdk11容器构建SpringBoot应用时，因公司Netskope自签名证书未被容器内JRE信任，出现PKIX path building failed的SSL握手错误。本地构建正常是因为系统已信任该证书，但Docker容器内的JRE独立于本地系统，默认不包含此证书。

已尝试方案的问题点：

• 证书挂载路径写反，未将本地证书挂载到容器内，且未执行证书导入操作
• DOCKER_TLS_VERIFY=0仅控制Docker客户端与守护进程的TLS验证，和容器内Gradle访问仓库的SSL无关
• settings.gradle.kts的仓库配置仅解决仓库寻址问题，未处理证书信任核心问题

方案1：临时修改Docker Compose，构建时动态导入证书 #

直接在docker-compose.yml中挂载本地证书，并在执行gradle构建前导入容器JRE信任库：

version: "3"
services:
  my-application-gradle-build:
    image: gradle:7.6.4-jdk11
    volumes:
      - .:/home/gradle/project
      - ~/.gradle/gradle.properties:/home/gradle/.gradle/gradle.properties
      - ~/.m2:/home/gradle/.m2
      # 将本地Netskope证书挂载到容器临时目录
      - /Library/Application\ Support/Netskope/STAgent/data/nscacert.pem:/tmp/nscacert.pem
    working_dir: /home/gradle/project
    # 先导入证书，再执行构建
    command: >
      bash -c "
        keytool -import -trustcacerts -file /tmp/nscacert.pem -alias NetskopeCert -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -noprompt &&
        gradle --no-daemon build
      "

方案2：自定义Gradle构建镜像（持久化方案） #

创建专门的Gradle构建镜像，提前导入证书，避免每次构建重复执行导入操作：

1. 新建Dockerfile.gradle文件：

FROM gradle:7.6.4-jdk11
# 复制本地Netskope证书到容器内
COPY /Library/Application\ Support/Netskope/STAgent/data/nscacert.pem /tmp/nscacert.pem
# 将证书导入JRE系统信任库
RUN keytool -import -trustcacerts -file /tmp/nscacert.pem -alias NetskopeCert -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -noprompt
# 设置工作目录
WORKDIR /home/gradle/project

2. 修改docker-compose.yml使用自定义镜像：

version: "3"
services:
  my-application-gradle-build:
    build:
      context: .
      dockerfile: Dockerfile.gradle
    volumes:
      - .:/home/gradle/project
      - ~/.gradle/gradle.properties:/home/gradle/.gradle/gradle.properties
      - ~/.m2:/home/gradle/.m2
    command: gradle --no-daemon build

• 确认本地Netskope证书路径正确，若证书存放在用户目录下，路径应为~/Library/Application Support/Netskope/STAgent/data/nscacert.pem
• JRE信任库默认密码为changeit，若已修改需替换对应密码
• 若导入时提示证书已存在，可添加-overwrite参数覆盖已有证书条目

内容的提问来源于stack exchange，提问作者user19402750