如何在不破坏Docker缓存的前提下使用${CI_JOB_TOKEN}配置.netrc文件

我来分享几个在GitLab CI环境下既能保留Docker缓存，又能安全使用Git凭证的最优方案，完美解决你遇到的.netrc导致缓存失效的问题：

方案一：使用Docker BuildKit的--secret动态注入.netrc（推荐） #

这个方法的核心是不让.netrc成为构建上下文的一部分，而是在构建过程中临时注入，彻底避免因凭证内容变化破坏缓存链。

步骤1：修改GitLab CI脚本 #

启用Docker BuildKit，并将生成的.netrc存放在临时路径，构建时通过--secret参数传递：

Build Staging:
  stage: build
  image: docker:19.03.1
  services:
    - docker:19.03.1-dind
  before_script:
    - apk --update --no-cache add openssh-client curl py-pip gettext
    - pip install awscli
    - echo -e "machine gitlab.com\nlogin gitlab-ci-token\npassword ${CI_JOB_TOKEN}" > /tmp/.netrc
    - export DOCKER_BUILDKIT=1  # 启用BuildKit
  script:
    - $(aws ecr get-login --no-include-email --region sa-east-1)
    - docker pull $AWS_ECR:latest || true
    - docker build --cache-from $AWS_ECR:latest --secret id=netrc,src=/tmp/.netrc .

步骤2：调整Dockerfile #

移除COPY .netrc步骤，改用--mount=type=secret在执行go mod download时临时挂载凭证：

FROM golang:latest
WORKDIR $GOPATH/src/api-v2
COPY go.mod go.sum ./
# 临时挂载.netrc，执行完命令后自动移除，不会进入镜像层
RUN --mount=type=secret,id=netrc,dst=/root/.netrc go mod download && go mod verify
COPY . $GOPATH/src/api-v2
...
RUN go build
EXPOSE 8080
CMD [ "api-v2" ]

原理：--mount=type=secret只会在当前RUN命令执行期间挂载文件，不会成为镜像层的一部分，也不会影响COPY go.mod go.sum步骤的缓存（缓存键只和这两个文件的内容有关）。只要依赖没变化，这一层就会稳定命中缓存。

方案二：直接在go mod download中使用CI_JOB_TOKEN作为Git凭证 #

绕过.netrc，直接通过Git配置让go mod自动使用CI_JOB_TOKEN，完全避免处理凭证文件。

步骤1：修改Dockerfile #

通过git config insteadOf替换GitLab的HTTPS请求路径，自动带上凭证：

FROM golang:latest
WORKDIR $GOPATH/src/api-v2
COPY go.mod go.sum ./
# 临时配置Git凭证，完成下载后清理配置
RUN git config --global url."https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/".insteadOf "https://gitlab.com/" && \
    go mod download && go mod verify && \
    git config --global --unset url."https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/".insteadOf
COPY . $GOPATH/src/api-v2
...
RUN go build
EXPOSE 8080
CMD [ "api-v2" ]

步骤2：调整CI脚本 #

构建时通过--build-arg传递CI_JOB_TOKEN：

Build Staging:
  stage: build
  image: docker:19.03.1
  services:
    - docker:19.03.1-dind
  before_script:
    - apk --update --no-cache add openssh-client curl py-pip gettext
    - pip install awscli
  script:
    - $(aws ecr get-login --no-include-email --region sa-east-1)
    - docker pull $AWS_ECR:latest || true
    - docker build --cache-from $AWS_ECR:latest --build-arg CI_JOB_TOKEN=${CI_JOB_TOKEN} .

原理：Git配置的替换逻辑只会影响当前RUN命令的go mod download，且不会留在镜像中。COPY go.mod go.sum的缓存依然由这两个文件的内容决定，不会受凭证变化影响。

为什么原方案会破坏缓存？ #

Docker的缓存机制是基于文件内容的哈希值判断是否复用缓存层的。每次CI构建时，CI_JOB_TOKEN变化导致.netrc的哈希值改变，直接让COPY .netrc /root/这一步的缓存失效，进而后面所有依赖这一层的步骤（比如go mod download）都要重新执行。上面的两个方案都是让凭证信息脱离构建上下文的静态文件，从而保住了缓存链。

内容的提问来源于stack exchange，提问作者Felipe Colussi-oliva