GitLab CI中Electron Builder构建报x509未知证书签名错误

GIT_SSL_NO_VERIFY=true 仅对Git客户端自身的HTTPS请求生效，不会作用于electron-builder的内置下载组件。从报错日志可见，失败点是electron-builder调用内置Go编写的app-builder工具，从GitHub下载Electron预编译二进制包时触发证书校验失败，这段下载逻辑完全不读取Git相关的SSL配置。
本地使用相同Docker镜像构建成功、GitLab CI环境失败，核心原因是GitLab CI的出口网络经过了部署自签证书的企业透明代理/防火墙，访问GitHub时返回的是代理签发的证书，不在系统或工具的信任根证书列表中；本地网络直连GitHub未经过这层代理，因此不会触发证书错误。

按落地成本从低到高排列：

方案1：临时跳过SSL校验（快速迭代场景使用，不推荐长期配置） #

在CI构建脚本中，执行electron构建命令前追加导出两个环境变量，让electron-builder及其依赖组件跳过TLS证书校验：

export NODE_TLS_REJECT_UNAUTHORIZED=0
export ELECTRON_BUILDER_ALLOW_UNSECURE_DOWNLOADS=true

配置后即可绕过下载时的x509报错，注意该方案会降低构建过程的请求安全性，仅适合临时赶版本使用。

方案2：将自签根证书加入系统信任链（长期正规方案） #

• 将企业出口代理的自签根证书文件（.crt格式）存放到代码仓库的CI配置目录，例如ci/enterprise-root-ca.crt
• 在构建镜像的Dockerfile或者CI前置执行脚本中，将证书导入系统信任存储：
  若使用Debian/Ubuntu基础镜像，执行以下命令：

cp ci/enterprise-root-ca.crt /usr/local/share/ca-certificates/
update-ca-certificates

RHEL/CentOS/Alpine等其他基础镜像对应调整证书导入命令即可。
证书导入后，所有调用系统证书库的客户端（包括electron-builder的内置组件、Node.js、Git等）都会自动信任企业自签证书，不需要关闭任何SSL校验逻辑，不影响构建安全性。

方案3：配置内部Electron镜像源 #

如果企业内部已有同步完成的Electron二进制包镜像源，可以在CI构建前配置镜像地址，避开公网GitHub下载的证书拦截：

export ELECTRON_MIRROR=https://内部镜像地址/electron/

配置后electron-builder会直接从内部镜像拉取对应版本的Electron压缩包，只要内部镜像的证书在系统信任列表中就不会触发证书错误，同时还能提升构建时的下载速度。

GIT_SSL_NO_VERIFY的作用范围仅限Git客户端本身，Node.js生态工具、Go编译的独立二进制工具都有独立的TLS信任逻辑，不会读取Git的SSL配置项，遇到这类证书报错需要针对对应工具单独调整配置。

内容的提问来源于stack exchange，提问作者TmTron