spring-boot:build-image配置私有buildpack registry报错排查

这既不是插件bug，也不是build-image功能不支持多Registry源的buildpack混用，纯粹是配置项用错了。

• 你配置的<builderRegistry>节点作用域非常窄：仅用于拉取Paketo builder基础镜像，属于全局单值配置，一旦配置，插件拉取builder镜像时不会做域名匹配，直接强制使用该节点下的凭据信息。你把私有GitLab仓库的地址和账号填在这里，插件拉取docker.io上的公网builder镜像时，会硬套你私有仓库的鉴权信息去请求Docker Hub，自然会返回鉴权失败的错误。
• 最初未加该配置时拉取不到私有buildpack，是因为自定义buildpack属于构建过程中拉取的第三方镜像资源，它的鉴权根本不走builderRegistry的配置逻辑。

移除错误的<builderRegistry>配置，改用<docker>下的复数节点<registries>配置凭据池即可，插件拉取任何镜像时都会自动根据镜像的域名匹配对应凭据，未匹配到的公网镜像（比如docker.io上的Paketo公共组件）会默认走匿名拉取逻辑，不会出现凭据错用的问题。
完整配置示例：

<plugin>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-maven-plugin</artifactId>
  <configuration>
    <image>
      <buildpacks>
        <buildpack>paketo-buildpacks/java</buildpack>
        <buildpack>gitlab.company.com:5000/my-buildpack</buildpack>
      </buildpacks>
    </image>
    <docker>
      <registries>
        <registry>
          <url>gitlab.company.com:5000</url>
          <username>myuser</username>
          <password>mypassword</password>
        </registry>
      </registries>
    </docker>
  </configuration>
</plugin>

三个容易混淆的Docker Registry相关配置作用边界如下，不要用错：

• <builderRegistry>：仅在你需要把默认的公网Paketo builder换成私有仓库托管的自定义builder时才用，配置后拉取builder会强制走该配置，不做域名自动匹配。
• <publishRegistry>：仅用于构建完成后，把生成的应用镜像推送到目标私有镜像仓库时的鉴权，和拉取builder、拉取buildpack的流程完全无关。
• <registries>：全局镜像拉取凭据池，支持配置多组不同仓库的账号密码，拉取builder、buildpack、运行时基础镜像等所有拉取类操作都会自动按域名匹配对应凭据，是混合使用公私镜像源场景的正确配置项。

额外提醒：不要把账号密码硬编码在pom.xml中，建议通过Maven属性占位符关联~/.m2/settings.xml中的server配置，或者读取环境变量传入，避免凭据泄露。如果私有仓库用的是自签SSL证书，需要提前把证书加入Docker daemon的信任列表，否则会出现TLS握手失败，这类问题和Maven插件无关。

内容的提问来源于stack exchange，提问作者schrom