Docker中Go客户端连接KeyCloak报x509证书未知签发机构错误

问题原因 #

大多数轻量Docker镜像（比如Alpine、Distroless）默认没预装Let's Encrypt的根CA证书，而你的本地操作系统已经包含了这些证书，所以本地运行正常，Docker环境里就会触发证书验证失败的错误。

解决方案 #

方案1：给Docker镜像安装根证书（推荐）

这是最稳妥的生产环境方案，直接在Dockerfile中添加安装证书的步骤：

• 如果你用的是Alpine镜像：

RUN apk add --no-cache ca-certificates

• 如果你用的是Debian/Ubuntu系镜像：

RUN apt-get update && apt-get install -y --no-install-recommends ca-certificates && rm -rf /var/lib/apt/lists/*

构建镜像后，Go客户端就能正常识别Let's Encrypt的证书了。

方案2：临时跳过证书验证（仅测试用）

如果是测试环境临时调试，可以在Go代码里禁用证书验证，但生产环境绝对禁止这么做，会导致通信被中间人攻击：

import (
    "crypto/tls"
    "net/http"
)

// 创建跳过证书校验的HTTP客户端
client := &http.Client{
    Transport: &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    },
}
// 使用该客户端发起KeyCloak请求

方案3：挂载主机证书到容器（移植性差）

把本地主机的根证书目录挂载到容器中，Linux主机示例：

docker run -v /etc/ssl/certs:/etc/ssl/certs:ro 你的Go应用镜像名

这种方式依赖主机环境的证书配置，换主机可能失效，不推荐用于生产。

内容的提问来源于stack exchange，提问作者kolypto