构建Node.js Docker镜像时apt-get update证书验证失败求助

问题详情 #

构建Docker镜像时，执行RUN apt-get update步骤出现证书验证错误，错误提示：

Certificate verification failed: The certificate is NOT trusted. The certificate issuer is unknown. Could not handshake: Error in the certificate verification.

原Dockerfile相关代码片段：

# Update packages
RUN apt-get update
RUN apt-get install -y --no-install-recommends software-properties-common make g++
RUN apt-get install -y sudo
RUN apt-get install -y curl
RUN apt-get install -y git 

已尝试以下操作但问题未解决：

sudo apt-get clean
sudo apt-get install -y ca-certificates
sudo update-ca-certificates
sudo apt-get update

可行解决方案 #

1. 调整证书安装时机并优化Dockerfile命令 #

Docker容器内默认以root用户运行，无需添加sudo，且要把证书安装步骤放在apt-get update之前，同时合并命令减少镜像层数：

# 先处理证书再执行后续安装
RUN apt-get clean && apt-get update -y && \
    apt-get install -y --no-install-recommends ca-certificates && \
    update-ca-certificates && \
    apt-get install -y --no-install-recommends software-properties-common make g++ sudo curl git && \
    apt-get clean && rm -rf /var/lib/apt/lists/*

2. 修正容器系统时间 #

证书验证依赖准确的系统时间，若容器时间与实际时间偏差过大，会导致证书有效性判断错误。可添加时间同步步骤：

# 以Debian/Ubuntu为例，安装工具同步时间
RUN apt-get install -y --no-install-recommends ntpdate && \
    ntpdate pool.ntp.org

或构建时指定时区参数：

docker build --build-arg TZ=Asia/Shanghai .

3. 临时切换apt源为HTTP（仅调试用） #

如果是镜像源的HTTPS证书问题，可临时改用HTTP源调试（生产环境不建议，存在安全风险）：

# 替换Ubuntu 20.04源为HTTP示例
RUN sed -i 's/https/http/g' /etc/apt/sources.list && \
    apt-get update

4. 排查宿主机代理/防火墙影响 #

若宿主机使用代理或防火墙，可能篡改HTTPS请求证书。可尝试关闭代理后重新构建，或把代理证书导入容器：

# 复制宿主机代理证书到容器并更新信任列表
COPY proxy.crt /usr/local/share/ca-certificates/
RUN update-ca-certificates

内容的提问来源于stack exchange，提问作者Roshan