在Google Cloud Run运行Docker容器遇RSA OAEP解码错误求助

• 检查密钥文件的完整性与权限
  确保部署到Cloud Run的密钥文件和本地测试用的完全一致，无格式损坏（如缺失换行符、多余空白字符）。在Dockerfile中添加命令设置密钥文件权限为600，避免运行环境因权限过宽拒绝读取：

  RUN chmod 600 /path/to/your/rsa-key.pem
  

• 对齐OpenSSL/LibreSSL版本
  本地Docker与Cloud Run运行环境的SSL库版本差异可能导致算法实现不一致。执行openssl version查看本地版本，然后在Docker镜像中使用相同版本的基础镜像（如指定Ubuntu 22.04而非默认最新版）。若使用Alpine镜像，因其默认用LibreSSL，可尝试切换为Ubuntu镜像测试。

• 统一RSA OAEP参数配置
  确认加密、解密流程使用的OAEP参数完全匹配：

  • 哈希算法（如SHA-256/SHA-1）必须一致
  • MGF1函数的哈希算法需同步
  • 若使用了OAEP标签，加密和解密的标签内容要完全相同，避免因环境对空标签的处理差异触发错误

• 验证服务账号权限（若使用云存储密钥）
  若密钥存储在Secret Manager等服务中，确保Cloud Run的服务账号拥有读取密钥的权限（如添加roles/secretmanager.secretAccessor角色）。同时检查代码拉取密钥的逻辑，确认在Cloud Run环境下能获取到完整的密钥内容，无截断或读取失败情况。

• 开启详细日志定位问题
  在Cloud Run控制台开启完整日志，查看错误发生时的调用栈信息，定位代码中触发错误的具体环节。也可在部署时添加环境变量启用应用调试日志：

  gcloud run deploy --set-env-vars=DEBUG=true
  

• 本地模拟Cloud Run环境调试
  使用gcloud run local命令在本地模拟Cloud Run运行环境，复现部署场景。若能复现错误，说明问题出在镜像本身或配置，可快速排查修复。

内容的提问来源于stack exchange，提问作者Diego Fincatto