Dockerfile中dotnet restore执行失败：证书链PartialChain错误

问题详情 #

使用mcr.microsoft.com/dotnet/sdk:8.0构建镜像时，仅在Release模式下执行dotnet restore会失败，Debug模式完全正常。错误表现为SSL连接无法建立，远程证书因证书链错误（PartialChain）无效，具体日志如下：

/usr/share/dotnet/sdk/8.0.100-rc.1.23463.5/NuGet.targets(156,5): error :   The SSL connection could not be established, see inner exception. [api.csproj]
/usr/share/dotnet/sdk/8.0.100-rc.1.23463.5/NuGet.targets(156,5): error :   The remote certificate is invalid because of errors in the certificate chain: PartialChain

解决方案 #

1. 给容器导入信任的CA证书 #

如果你的NuGet源使用了自定义证书（比如私有仓库），容器默认不会信任该证书，直接把证书复制到容器的系统信任目录即可：

FROM mcr.microsoft.com/dotnet/sdk:8.0 AS build
# 复制自定义CA证书到容器信任目录
COPY your-ca-cert.crt /usr/local/share/ca-certificates/
# 更新系统信任证书列表
RUN update-ca-certificates
# 执行Release模式的restore
RUN dotnet restore --configuration Release

2. 临时禁用NuGet证书验证（仅测试用，禁止生产环境使用） #

如果只是临时排查问题，不想折腾证书配置，可以直接在dotnet restore命令中添加跳过证书验证的参数：

dotnet restore --trust-server-certificate --configuration Release

或者创建nuget.config文件放在项目根目录，通过配置文件全局跳过验证：

<!-- nuget.config -->
<configuration>
  <settings>
    <add key="trustServerCertificate" value="true" />
  </settings>
</configuration>

然后在Dockerfile中指定使用该配置文件：

RUN dotnet restore --configfile nuget.config --configuration Release

3. 切换到正式版.NET SDK镜像 #

当前使用的SDK是8.0预览版（8.0.100-rc.1），可能存在证书相关的已知bug。切换到正式版镜像试试：

# 指定具体正式版版本号
FROM mcr.microsoft.com/dotnet/sdk:8.0.100 AS build
# 或者直接使用最新的8.0稳定版镜像
# FROM mcr.microsoft.com/dotnet/sdk:8.0 AS build

4. 排查Release模式的构建参数差异 #

检查Release构建时是否使用了和Debug模式不同的NuGet源或配置文件。比如是否在Release构建脚本中指定了私有源，但未对该源的证书做信任处理。确保两种模式的源配置一致，或者单独为Release模式配置信任证书。

5. 检查代理/防火墙影响 #

如果构建环境处于代理服务器后方，代理的CA证书也需要导入到容器的信任链中。先获取代理的CA证书，按照第一步的方法复制到容器并更新信任列表，同时在Dockerfile中配置代理环境变量：

ENV HTTP_PROXY=http://your-proxy-address:port
ENV HTTPS_PROXY=http://your-proxy-address:port

内容的提问来源于stack exchange，提问作者Raghavendra Reddy