如何在Docker容器中共享主机GPG代理以实现Git提交签名

你遇到的问题是挂载主机GPG目录到容器后，Git提交签名失败，核心原因多为权限不匹配、GPG代理配置缺失或Git签名参数未正确设置，以下是具体解决步骤：

1. 修正目录挂载与用户权限匹配 #

容器内运行的用户UID/GID必须和主机用户完全一致，否则会因权限不足无法读取.gnupg内的敏感文件。调整Docker Compose配置：

services:
  your-service:
    # 指定与主机一致的UID/GID，避免权限冲突
    user: "${UID}:${GID}"
    volumes:
      # 挂载主机.gnupg到容器内用户的家目录（替换container-user为容器实际用户名）
      - ${HOME}/.gnupg:/home/container-user/.gnupg:ro
      # 挂载主机GPG代理套接字目录
      - /run/user/${UID}/:/run/user/${UID}/:ro

2. 配置GPG环境变量 #

在容器内指定GPG的核心环境变量，确保其使用主机的代理和密钥目录：

environment:
  - GPG_TTY=$(tty)
  - GNUPGHOME=/home/container-user/.gnupg
  - GPG_AGENT_INFO=/run/user/${UID}/gnupg/S.gpg-agent:0:1

3. 设置Git签名参数 #

容器内需要明确Git的签名密钥和GPG程序路径，可通过两种方式配置：

方式一：容器内临时配置 #

执行以下命令（替换YOUR_GPG_KEY_ID为你的GPG密钥ID）：

git config --global user.signingkey YOUR_GPG_KEY_ID
git config --global gpg.program gpg2  # 或gpg，根据主机使用的版本调整

方式二：挂载主机Git配置 #

直接挂载主机的.gitconfig到容器用户家目录，复用已有配置：

volumes:
  - ${HOME}/.gitconfig:/home/container-user/.gitconfig:ro

4. 验证GPG可用性 #

在容器内先测试GPG是否正常读取密钥：

gpg --list-secret-keys

如果能列出主机的密钥，再测试签名功能：

echo "test" | gpg --clearsign

这两步成功后，再尝试git commit -m "test"即可正常签名。

额外注意事项 #

• 确保主机GPG代理处于运行状态，且/run/user/${UID}/gnupg目录权限为700（主机执行chmod -R 700 ~/.gnupg）
• 不要将.gnupg挂载到容器根目录，GPG默认会优先读取用户家目录下的配置文件

内容的提问来源于stack exchange，提问作者user9608133