GitLab CI中使用Apache Mina测试SFTP时遇权限拒绝错误

问题根源 #

本地测试正常，但GitLab CI流水线启动SFTP服务器时触发java.net.SocketException: Permission denied，核心原因有两个：

1. 特权端口限制：Linux系统中1-1024端口属于特权端口，需要root权限才能绑定，而GitLab CI Runner默认以非root用户运行，若测试使用该范围端口会直接报错。
2. 端口被占用：CI环境中固定端口可能被其他进程抢占，导致绑定失败。

解决办法 #

1. 使用随机非特权端口（最优方案） #

放弃固定端口配置，让系统自动分配可用端口，启动后获取实际端口供客户端连接，彻底规避权限和占用问题：

修改测试类的startSftpServer方法：

private void startSftpServer()
    throws NoSuchAlgorithmException, IOException, InvalidKeySpecException {
  sshd = SshServer.setUpDefaultServer();
  sshd.setPort(0); // 设置为0，让系统自动分配空闲端口
  // 保留原有配置
  sshd.setSubsystemFactories(
      Collections.singletonList(new SftpSubsystemFactory.Builder().build()));
  sshd.setKeyPairProvider(new SimpleGeneratorHostKeyProvider());
  sshd.setUserAuthFactories(
      BuiltinUserAuthFactories.parseFactoriesList("publickey").getParsedFactories());
  sshd.setPublickeyAuthenticator(
      new KeySetPublickeyAuthenticator(
          "keySetPKAuth",
          SftpTestConfigUtils.loadPemPublicKeys(
              new ClassPathResource("/keystore/public_test.pem"))));
  fileSystem =
      Jimfs.newFileSystem(Configuration.unix().toBuilder().setAttributeViews("posix").build());
  sshd.setFileSystemFactory(new VirtualFileSystemFactory(fileSystem.getPath("/")));

  sshd.start();
  int actualPort = sshd.getPort(); // 获取系统分配的实际端口
  // 更新客户端配置的端口，比如通过反射修改Controller内的SFTP配置
  SftpConfiguration clientConfig = (SftpConfiguration) ReflectionTestUtils.getField(dataLoadController, "sftpFileRetrievalConfiguration");
  clientConfig.setPort(actualPort);
}

2. 改用1024以上的固定端口 #

如果必须使用固定端口，选择1024以上的端口（如2222、3333），同时同步修改application.yml中的测试SFTP端口配置：

// 在startSftpServer方法中设置端口
sshd.setPort(2222);

3. 端口占用检查（可选） #

在GitLab CI脚本中提前检查目标端口是否可用：

before_script:
  - ss -tulpn | grep :2222 || echo "Port 2222 is available"

额外注意事项 #

• 确保teardown方法正确关闭服务器，避免端口残留：

  private void teardown() throws IOException {
    if (sshd != null && sshd.isStarted()) {
      sshd.stop();
    }
  }
  

• 避免给CI Runner开root权限：虽然可以通过privileged: true或指定root用户解决特权端口问题，但会带来安全风险，优先使用前两种方案。

内容的提问来源于stack exchange，提问作者Beez