Docker中用GraalVM编译Spring Boot Native Image失败：JNIHeaderDirectivesJDK21OrLater错误

AI 小北

2026-7-2

问题描述

在WSL2 + Docker环境下，使用GraalVM编译Spring Boot 3.2.1应用的Native Image时，执行nativeBuild任务失败，核心错误为：

com.oracle.svm.core.util.VMError$HostedError: Unable to run '/tmp/SVM-11225349402971654161/JNIHeaderDirectivesJDK21OrLater' to compute offsets in C data structures. Is it possible that your antivirus software interferes and puts the resulting file into quarantine?

环境信息：

Spring Boot版本：3.2.1
GraalVM：VM GraalVM CE 21.0.1+12.1（build 21.0.1+12，serial gc）
native-image：21.0.1 2023-10-17
Docker Desktop：4.26.1（131620）
构建系统：Gradle 8.5
操作系统：Windows 10 + WSL2（运行Docker Desktop）

Dockerfile内容：

FROM  ghcr.io/graalvm/native-image-community:21-muslib AS build
# Install to run gradlew
RUN microdnf install -y findutils
COPY gradlew .
COPY gradle gradle
COPY build.gradle .
COPY settings.gradle .
COPY src src
ENV SPRING_PROFILES_ACTIVE DEV
RUN chmod +x ./gradlew
RUN ./gradlew nativeBuild

故障原因分析

临时文件执行权限不足：容器内/tmp目录可能被配置为noexec，或GraalVM生成的临时程序缺少可执行权限，导致无法运行。
Windows杀毒软件误拦截：WSL2的文件系统会被Windows杀毒软件扫描，临时生成的JNI工具程序可能被误判为恶意软件隔离。
musl libc镜像兼容性限制：musl版本的GraalVM镜像对部分系统调用的支持不如glibc稳定，导致临时程序执行失败。
GraalVM版本bug：21.0.1版本存在JDK21相关的JNI工具执行问题，后续版本已修复该缺陷。

解决建议

调整容器临时目录权限：在Dockerfile中添加命令，确保/tmp目录具备可执行权限：
```
RUN chmod 1777 /tmp
```
或指定自定义临时目录：
```
ENV TMPDIR=/app/build/tmp
RUN mkdir -p $TMPDIR && chmod 777 $TMPDIR
```
排除WSL路径在杀毒软件扫描范围：打开Windows杀毒软件设置，将WSL2的根路径（如\\wsl$\Ubuntu）添加到扫描排除项，避免误杀临时程序。
切换到glibc版本镜像：修改Dockerfile的基础镜像为glibc版本：
```
FROM ghcr.io/graalvm/native-image-community:21
```
升级GraalVM版本：使用GraalVM CE 21.0.2或更高版本的镜像，例如：
```
FROM ghcr.io/graalvm/native-image-community:21.0.2-muslib
```
显式解锁实验性选项：在build.gradle中添加Native Image配置，解锁实验性选项（解决警告的同时避免潜在冲突）：
```
graalvmNative {
    binaries {
        main {
            buildArgs.add('-H:+UnlockExperimentalVMOptions')
        }
    }
}
```

内容的提问来源于stack exchange，提问作者Ben