Docker容器中root运行npm时UNABLE_TO_GET_ISSUER_CERT_LOCALLY错误修复

针对企业防火墙替换SSL证书导致的UNABLE_TO_GET_ISSUER_CERT_LOCALLY错误，以下是几个可行的修复方案：

方案一：正确更新系统CA证书+全局配置npm #

alpine镜像的系统CA证书需要专用命令更新，直接追加证书文件不会生效，同时要确保npm全局加载CA配置：

FROM node:alpine AS deps

# 复制自定义证书到系统证书目录
COPY my.crt /usr/local/share/ca-certificates/my.crt
# 更新系统CA证书链（alpine必须执行此命令）
RUN update-ca-certificates

# 全局配置npm使用系统合并后的证书文件
RUN npm config set cafile /etc/ssl/certs/ca-certificates.crt --global

# 安装pm2
RUN npm install --global pm2

方案二：通过环境变量直接指定CA证书 #

如果系统CA更新后npm仍不识别，可以直接给npm进程注入证书路径：

方式1：单RUN命令临时设置环境变量 #

FROM node:alpine AS deps

COPY my.crt /root/my.crt

# 在同一命令中设置环境变量并执行安装，避免环境变量丢失
RUN NODE_EXTRA_CA_CERTS=/root/my.crt npm install --global pm2

方式2：全局持久化环境变量 #

FROM node:alpine AS deps

COPY my.crt /root/my.crt

# 设置全局环境变量，后续所有RUN命令都会继承
ENV NODE_EXTRA_CA_CERTS=/root/my.crt

RUN npm install --global pm2

方案三：排查配置是否生效 #

如果仍有问题，可以添加验证步骤确认配置是否正确加载：

# 检查npm的cafile配置
RUN npm config get cafile
# 检查环境变量是否存在
RUN echo $NODE_EXTRA_CA_CERTS

关键原因说明 #

1. alpine的CA证书管理逻辑特殊，必须通过update-ca-certificates从指定目录生成统一证书链，直接追加文件无效。
2. Docker中单个RUN命令的export环境变量仅在当前shell生效，跨RUN命令会丢失，所以要同步执行或用ENV持久化。
3. npm config set不加--global时，仅对root用户的局部配置生效，alpine环境下可能因配置路径问题不生效，加--global可确保全局生效。

内容的提问来源于stack exchange，提问作者sashoalm