Docker构建时如何安全安装GitHub私有Python包？

以下是几个可行且安全的方案：

方案一：修正.netrc配置（最简便） #

你之前的.netrc写法有误，GitHub认证需要指定password字段（填入你的token），login可任意填写（比如token）。正确的Dockerfile写法：

# 定义构建参数
ARG GITHUB_TOKEN

# 生成.netrc文件并设置正确权限（权限600是git识别该文件的必要条件）
RUN echo "machine github.com login token password ${GITHUB_TOKEN}" > /root/.netrc \
    && chmod 600 /root/.netrc

# 安装私有包，也可直接用pip install -r requirements.txt（需确保requirements里是git+https://github.com/xxx/xxx.git格式）
RUN pip install git+https://github.com/my_private_org/python-package.git

构建时通过--build-arg传入token：

docker build --build-arg GITHUB_TOKEN=your_actual_token -t your-image .

注意：ARG仅为构建时变量，不会保留在最终镜像中，安全性有保障。

方案二：在requirements.txt中动态注入token #

若你的requirements.txt原本内容为：

git+https://github.com/my_private_org/python-package.git

可在构建时动态替换URL的认证部分，避免硬编码：

ARG GITHUB_TOKEN
COPY requirements.txt .
# 替换URL、安装依赖后删除文件，防止token残留
RUN sed -i "s|https://github.com|https://${GITHUB_TOKEN}@github.com|" requirements.txt \
    && pip install -r requirements.txt \
    && rm requirements.txt

同样通过--build-arg传入token执行构建。

方案三：使用SSH密钥（最安全） #

若偏好使用SSH而非token，可按以下步骤操作：

1. 生成SSH密钥对，将公钥添加到GitHub账号/组织的权限列表中。
2. 编写Dockerfile并通过Docker的SSH挂载功能传递私钥（需Docker 18.09及以上版本）：

# 安装SSH客户端并添加GitHub到已知主机
RUN apt-get update && apt-get install -y openssh-client \
    && mkdir -p /root/.ssh \
    && ssh-keyscan github.com >> /root/.ssh/known_hosts

# 使用SSH地址安装私有包
RUN pip install git+ssh://git@github.com/my_private_org/python-package.git

构建命令：

docker build --ssh default=$HOME/.ssh/id_rsa -t your-image .

该方式不会在镜像中留下任何认证信息，安全性最高。

内容的提问来源于stack exchange，提问作者OBurnsy22