Dockerfile中--mount=type=ssh无法拉取带package-lock.json的SSH依赖

我在Dockerfile中构建带有SSH外部依赖的Node.js应用，分别测试了存在和不存在package-lock.json的场景，发现一个异常情况：使用--mount=type=ssh时，npm拉取SSH外部依赖无法递归生效——移除package-lock.json时构建正常，但保留该文件时就会因无法获取私钥授权而拉取失败。我无法理解为何npm的子进程无法复用SSH挂载的密钥，而且固定版本的package-lock.json本就是构建必需的。

相关环境与配置细节：

• Docker版本：24.0.2，build cb74dfcd85
• Dockerfile命令：RUN --mount=type=ssh /usr/local/bin/npm install --loglevel silly
• 构建参数：--ssh default=$HOME/.ssh/id_ed25519
• package.json依赖配置："dependance": "git+ssh://git@gitlab.xxxx.xxx:common/dependance.git#v4.0.0-pre.7"
• package-lock.json对应内容："version": "git+ssh://git@gitlab.xxxx.xxx:common/dependance.git#4db813c75b98977b10886ceeb761f5f0fcf92f40", "from": "git+ssh://git@gitlab.xxxx.xxx:common/dependance.git#v4.0.0-pre.7",

核心原因 #

当存在package-lock.json时，npm会直接使用lock文件中记录的Git commit哈希值拉取依赖，此时它调用Git的逻辑和从package.json解析依赖时完全不同：lock文件模式下，npm会启动独立的Git子进程，而这个子进程无法自动继承Docker SSH挂载的环境变量与socket权限。而没有lock文件时，npm通过自身逻辑解析package.json中的SSH URL，能正确复用挂载的SSH密钥。

可行解决方案 #

1. 使用npm ci替代npm install（推荐生产/CI场景）
   先在已授权SSH的本地或CI环境生成最新的package-lock.json，然后在Docker构建时执行npm ci，该命令会严格按照lock文件安装，同时能配合SSH挂载正常拉取依赖。调整Dockerfile命令：

   RUN --mount=type=ssh npm ci --loglevel silly
   

2. 配置Git强制使用SSH代理
   在Dockerfile中添加Git全局配置，让Git子进程能正确识别Docker挂载的SSH密钥：

   RUN git config --global core.sshCommand "ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null"
   RUN --mount=type=ssh npm install --loglevel silly
   

3. 临时忽略lock文件（仅调试用）
   使用npm install --no-package-lock参数，让npm重新解析package.json中的依赖，这样能复用SSH挂载的密钥，但会失去lock文件的版本锁定作用，不适合生产环境。

4. 改用HTTPS依赖（若仓库支持）
   如果Git仓库支持HTTPS访问，将package.json中的依赖URL改为HTTPS格式，通过环境变量传递访问令牌，可彻底避免SSH权限问题，且不受lock文件影响。

内容的提问来源于stack exchange，提问作者Rémy Crissan