Docker构建时安装GitHub组织私有Python包遇权限问题求助

核心问题排查与修复步骤 #

1. 确保Docker构建命令正确传递SSH密钥 #

Docker的--mount=type=ssh需要配合构建命令里的--ssh参数才能生效，执行构建时必须用：

docker build --ssh default .

如果省略--ssh default，容器内无法访问本地的SSH密钥，必然出现权限拒绝。

2. 修正容器内SSH目录权限 #

SSH对目录和文件权限有严格要求，原Dockerfile中目录权限设置错误，需修改：

# 原错误命令
# RUN mkdir -p -m 0600 ~/.ssh
# 修正为目录权限0700，文件后续自动继承安全权限
RUN mkdir -p -m 0700 ~/.ssh
RUN ssh-keyscan github.com >> ~/.ssh/known_hosts

目录权限必须为0700（仅所有者可读写执行），文件权限0600，否则SSH会拒绝使用密钥。

3. 正确测试GitHub SSH连接 #

你之前用ssh -T username@github.com是错误的，GitHub的SSH验证统一使用git用户，正确测试命令为：

ssh -T git@github.com

可以临时在Dockerfile中添加该命令排查：

RUN --mount=type=ssh ssh -T git@github.com

如果输出Hi <你的GitHub用户名>! You've successfully authenticated, but GitHub does not provide shell access.则说明SSH连接正常。

4. 确认SSH公钥已正确配置到GitHub #

• 检查本地公钥（~/.ssh/id_rsa.pub）内容是否完整添加到GitHub账户的「SSH and GPG keys」列表中
• 若为组织仓库，也可使用部署密钥：在仓库的「Settings → Deploy keys」添加公钥，勾选「Allow write access」（如果需要写入权限）

5. 统一SSH挂载下的依赖安装 #

原Dockerfile中，私有包安装和pip install -r requirements.txt分属两个独立RUN指令，第二个指令没有SSH挂载，如果requirements.txt中也包含该私有包地址，会再次触发权限错误。需合并到同一个RUN：

RUN --mount=type=ssh \
    pip install git+ssh://git@github.com/X/repo_name.git@setup#egg=repo_name \
    && pip install -r ./requirements.txt

替代方案：使用GitHub个人访问令牌（PAT） #

如果SSH配置仍有问题，可改用HTTPS+PAT的方式，避免SSH密钥的权限问题：

1. 在GitHub生成带repo权限的PAT
2. 修改requirements.txt中的包地址：

git+https://<你的PAT>@github.com/X/repo_name.git@setup#egg=repo_name

3. 构建时通过构建参数传递PAT（避免硬编码）：

ARG PAT
RUN pip install git+https://${PAT}@github.com/X/repo_name.git@setup#egg=repo_name \
    && pip install -r ./requirements.txt

构建命令：

docker build --build-arg PAT=你的PAT值 .

内容的提问来源于stack exchange，提问作者vam