Docker构建配置多SSH密钥拉取GitHub私有Python包报错解决

多-i参数不生效并非SSH参数能力有问题，核心是GitHub的SSH认证逻辑：客户端连接时只要提交了第一个格式合法的SSH密钥，哪怕该密钥没有目标仓库访问权限，GitHub会直接返回权限拒绝，不会等待客户端尝试后续传入的其他密钥，导致第二个密钥根本没机会参与认证。

最稳定的实现方式是通过SSH配置的Host别名机制，给不同仓库绑定专属密钥，强制每个连接只使用对应密钥，避免认证提前终止。

• 第一步：修改requirements.txt中的仓库地址，为两个私有仓库配置自定义SSH别名（别名可自定义，不需要是真实域名）

git+ssh://git@github-repo1/<myorg>/<myrepo1>.git
git+ssh://git@github-repo2/<myorg>/<myrepo2>.git

• 第二步：编写SSH配置文件，给两个别名分别绑定对应密钥，必须加上IdentitiesOnly yes配置，强制SSH仅使用当前Host指定的密钥，不自动尝试其他密钥

Host github-repo1
    HostName github.com
    User git
    IdentityFile ~/.ssh/key1
    IdentitiesOnly yes

Host github-repo2
    HostName github.com
    User git
    IdentityFile ~/.ssh/key2
    IdentitiesOnly yes

• 第三步：调整Dockerfile配置，删除原来的GIT_SSH_COMMAND环境变量，补全SSH目录权限、known_hosts配置，示例片段：

# 注意：生产环境推荐用BuildKit的ssh挂载传递密钥，不要直接COPY私钥到镜像避免泄露
RUN mkdir -p ~/.ssh && \
    # 写入上述SSH配置内容
    echo "Host github-repo1\n    HostName github.com\n    User git\n    IdentityFile ~/.ssh/key1\n    IdentitiesOnly yes\n\nHost github-repo2\n    HostName github.com\n    User git\n    IdentityFile ~/.ssh/key2\n    IdentitiesOnly yes" > ~/.ssh/config && \
    # 写入GitHub公钥跳过主机校验
    ssh-keyscan -t rsa github.com >> ~/.ssh/known_hosts && \
    # 配置SSH要求的严格文件权限，权限过宽会导致SSH拒绝读取配置和密钥
    chmod 700 ~/.ssh && chmod 600 ~/.ssh/*

# 直接安装依赖即可，不需要额外指定GIT_SSH_COMMAND
RUN pip install -r requirements.txt

安全优化建议 #

直接COPY私钥到镜像会导致私钥残留在镜像层，存在泄露风险，推荐开启Docker BuildKit用密钥挂载的方式构建，密钥仅在构建对应步骤时临时挂载，不会写入镜像层：

1. Dockerfile调整为如下写法：

RUN --mount=type=ssh mkdir -p ~/.ssh && \
    echo "Host github-repo1\n    HostName github.com\n    User git\n    IdentityFile /run/secrets/key1\n    IdentitiesOnly yes\n\nHost github-repo2\n    HostName github.com\n    User git\n    IdentityFile /run/secrets/key2\n    IdentitiesOnly yes" > ~/.ssh/config && \
    ssh-keyscan -t rsa github.com >> ~/.ssh/known_hosts && \
    chmod 700 ~/.ssh && chmod 600 ~/.ssh/*

RUN --mount=type=ssh pip install -r requirements.txt

2. 构建时执行如下命令传入本地密钥：

DOCKER_BUILDKIT=1 docker build --ssh key1=./your-local-key1-path --ssh key2=./your-local-key2-path .

内容的提问来源于stack exchange，提问作者mincom