构建Docker镜像时配置Git的简便方法及本地.gitconfig复用问题

可以直接复用本地.gitconfig实现更简洁的配置，常用方案如下：

绝大多数Linux容器中全局Git配置的默认路径是/root/.gitconfig，你可以直接将本地的.gitconfig拷贝到该位置，Dockerfile可以简化为：

(...)
ARG SRC="/src"
RUN mkdir ${SRC}

# 拷贝证书文件
COPY certificate.crt ${SRC}
COPY certificate.key ${SRC}
# 直接拷贝本地.gitconfig到容器全局Git配置路径
COPY ~/.gitconfig /root/.gitconfig
(...)

注意事项：

• 提前确认本地.gitconfig里的http.sslCert、http.sslKey路径和容器内的证书存放路径一致，如果本地路径和容器路径不匹配，提前把这两个配置的路径改成容器内的目标路径即可，比如/src/certificate.crt
• 不需要再单独写RUN指令配置user.name、user.email、insteadOf规则，所有配置已经包含在拷贝的.gitconfig中

如果不想把本地.gitconfig里的其他无关配置带进镜像，可以单独把构建需要的Git配置抽成一个.gitconfig.build文件放在项目根目录，内容参考：

[user]
    name = 你的用户名
    email = 你的邮箱
[url "https://你的access token@git_domain.com/"]
    insteadOf = ssh://git@git_domain.com/
[http "https://git_domain.com/"]
    sslCert = /src/certificate.crt
    sslKey = /src/certificate.key

然后Dockerfile里直接拷贝这个专用配置即可：

(...)
ARG SRC="/src"
RUN mkdir ${SRC}

COPY certificate.crt ${SRC}
COPY certificate.key ${SRC}
COPY .gitconfig.build /root/.gitconfig
(...)

如果你的配置里包含access token这类敏感信息，不要直接把包含敏感信息的配置打包到最终镜像，避免推送仓库后泄漏。可以使用Docker BuildKit的秘密挂载功能传递敏感配置，不会留在镜像层中：

1. 构建时传入秘密：

DOCKER_BUILDKIT=1 docker build --secret id=gitconfig,src=$HOME/.gitconfig .

2. Dockerfile中挂载使用：

# syntax=docker/dockerfile:1.2
RUN --mount=type=secret,id=gitconfig,dst=/root/.gitconfig \
    git clone 你需要拉取的仓库地址
# 用完之后秘密不会留在镜像的任何层里

内容的提问来源于stack exchange，提问作者heshagrade