Artifactory Alpine远程仓库apk更新权限拒绝问题求助

我之前在配置Alpine容器通过Artifactory拉取包的时候也遇到过一模一样的问题——wget能正常下载索引文件，但apk update就是报权限拒绝，折腾了一阵才找到几个有效的解决方向，分享给你：

1. 先确认Artifactory仓库的权限配置 #

别先纠结URL编码，先检查最基础的权限：

• 登录Artifactory后台，找到你的远程仓库alpine_linux_org-remote，进入Permissions标签页，确保你的用户（或者Token关联的用户）拥有该仓库的Read权限。
• 如果你的仓库设置了禁止匿名访问，那必须确保Token的权限范围包含这个仓库的读取权限，有些Token是全局权限，有些仅限特定仓库，得核对清楚。

2. 换一种认证方式：把认证信息从URL剥离 #

apk对URL内嵌的认证信息处理有时候会有解析bug，不如把用户名和Token单独放到/etc/apk/auth文件里试试：

# 先重置仓库配置，只保留仓库地址
echo "https://myserver.mycompany.com/artifactory/alpine_linux_org-remote/v3.10/main" > /etc/apk/repositories
# 创建auth文件，格式是「服务器地址:用户名:Token」，这里用户名不用编码@
echo "myserver.mycompany.com:first.last@mycompany.com:AKmyartifactorytoken" > /etc/apk/auth
# 再执行更新
apk update

这个方法我亲测有效，完全避开了URL里特殊字符的解析问题。

3. 检查SSL证书和反向代理的问题 #

如果你的Artifactory用了自签名证书，或者前面有Nginx之类的反向代理，也可能导致apk报错：

• 自签名证书的话，要先把证书导入Alpine的信任列表：

  # 下载Artifactory的证书到容器内
  wget -O /usr/local/share/ca-certificates/artifactory.crt https://myserver.mycompany.com/artifactory/artifactory.crt
  # 更新证书缓存
  update-ca-certificates
  

• 反向代理的话，要确认代理配置没有拦截URL里的认证信息，比如Nginx的proxy_pass有没有正确传递请求头，有没有对特殊字符做不必要的转义。

4. 用curl排查请求细节 #

wget返回成功不代表apk的请求逻辑和它完全一致，用curl模拟apk的请求，能看到更详细的HTTP响应细节：

curl -v https://first.last%40mycompany.com:AKmyartifactorytoken@myserver.mycompany.com/artifactory/alpine_linux_org-remote/v3.10/main/x86_64/APKINDEX.tar.gz

如果返回401 Unauthorized，那就是认证信息无效；如果是403 Forbidden，那就是权限不够；如果是5xx状态码，那可能是Artifactory或者后端源的服务问题。

最后试一下清缓存更新 #

有时候apk会缓存旧的错误状态，执行下面的命令强制清缓存更新：

apk update --no-cache

内容的提问来源于stack exchange，提问作者John