使用GitHub Action构建Dockerfile遇NuGet私有源401未授权问题求助

1. 生成并配置GitHub Personal Access Token (PAT) #

• 给PAT分配read:packages权限，确保该账号有权访问目标私有NuGet包所在的仓库
• 进入GitHub仓库的Settings > Secrets and variables > Actions，添加名为NUGET_AUTH_TOKEN的仓库密钥，值填生成的PAT

2. 正确配置nuget.config #

• 确保GitHub包源地址格式正确：https://nuget.pkg.github.com/<用户名/组织名>/index.json
• 示例配置（用变量占位符避免硬编码敏感信息）：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <packageSources>
    <add key="nuget.org" value="https://api.nuget.org/v3/index.json" protocolVersion="3" />
    <add key="GitHub" value="https://nuget.pkg.github.com/你的组织名/index.json" />
  </packageSources>
  <packageSourceCredentials>
    <GitHub>
      <add key="Username" value="你的GitHub用户名" />
      <add key="ClearTextPassword" value="$NUGET_AUTH_TOKEN" />
    </GitHub>
  </packageSourceCredentials>
</configuration>

3. Dockerfile中注入认证信息 #

• 通过构建参数传递token，禁止硬编码：

ARG NUGET_AUTH_TOKEN
WORKDIR /src
COPY nuget.config .
COPY . .
# 方式1：直接在restore命令中传递token
RUN dotnet restore --configfile nuget.config -p:NUGET_AUTH_TOKEN=$NUGET_AUTH_TOKEN

# 方式2：替换nuget.config中的变量（适合部分场景）
# RUN sed -i "s/\$NUGET_AUTH_TOKEN/$NUGET_AUTH_TOKEN/g" nuget.config
# RUN dotnet restore --configfile nuget.config

4. GitHub Action工作流配置 #

• 在工作流中把仓库密钥传递给Docker构建参数：

直接使用docker build命令 #

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      
      - name: Build Docker image
        run: |
          docker build \
            --build-arg NUGET_AUTH_TOKEN=${{ secrets.NUGET_AUTH_TOKEN }} \
            -t your-image-name:latest .

使用docker/build-push-action动作 #

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      
      - name: Build and push Docker image
        uses: docker/build-push-action@v5
        with:
          context: .
          push: true
          tags: your-image-name:latest
          build-args: |
            NUGET_AUTH_TOKEN=${{ secrets.NUGET_AUTH_TOKEN }}

5. 额外检查项 #

• 确认私有NuGet包的权限：进入包的Package settings > Manage access，添加运行Action的账号（或GITHUB_TOKEN对应的身份）为Reader
• 如果用GITHUB_TOKEN替代PAT，需要在工作流中添加权限声明：

permissions:
  packages: read

• 检查.dockerignore文件，确保nuget.config没有被排除在构建上下文之外

内容的提问来源于stack exchange，提问作者Mohammad Js