OSX Mojave下Nix包管理器无法拉取私有GitLab仓库求助

我之前在OSX Mojave用Nix构建私有仓库时也踩过一模一样的坑，结合你的情况来看，问题核心大概率是Nix的沙箱环境无法访问你的SSH密钥——Mojave的系统安全限制比旧版OSX严格得多，再加上Nix默认的沙箱会隔离用户目录，导致构建进程拿不到本地的SSH认证信息，哪怕你手动克隆仓库完全没问题。

下面是几个可行的解决方案，按推荐程度排序：

1. 通过SSH代理让Nix构建环境访问密钥 #

这是最安全的方案，不需要修改仓库地址或关闭沙箱：

• 先确认你的SSH代理在运行，且已经加载了密钥：

  # 查看已加载的密钥，能看到你的密钥指纹就说明正常
  ssh-add -l
  # 如果没加载，手动添加私钥（替换成你的密钥路径）
  ssh-add ~/.ssh/id_rsa
  

• 让Nix允许沙箱访问SSH代理的socket：
  先查看代理socket的实际路径：

  echo $SSH_AUTH_SOCK
  

  运行构建命令前设置环境变量：

  export NIX_EXTRA_SANDBOX_PATHS="$SSH_AUTH_SOCK"
  

  想要永久生效的话，编辑/etc/nix/nix.conf（需要sudo权限），添加：

  extra-sandbox-paths = /run/user/501/ssh-agent.sock  # 替换成你实际的SSH_AUTH_SOCK路径
  

  之后重启Nix daemon：

  sudo launchctl stop org.nixos.nix-daemon
  sudo launchctl start org.nixos.nix-daemon
  

2. 改用HTTPS+GitLab个人访问令牌（PAT） #

如果SSH代理的方式不好使，换HTTPS认证更直接，能彻底避开沙箱的SSH权限限制：

• 先去GitLab生成一个个人访问令牌，只开启read_repository权限就够了（最小权限原则，避免安全风险）。
• 修改default.nix里的fetchGit配置：

  my-private-gitlab-repo = self.callCabal2nix "my-private-gitlab-repo" (pkgs.fetchGit {
    url = "https://gitlab.com/namehere/my-private-gitlab-repo.git";
    rev = "..."; # 保持原rev不变
    sha256 = "..."; # 保持原sha256不变
    # 替换成你的GitLab个人访问令牌
    extraFetchGitOptions = ["--config" "credential.helper=!f() { echo username=oauth2; echo password=your_gitlab_pat; }; f"];
  }) {};
  

  这样Nix会用令牌通过HTTPS克隆仓库，完全不需要依赖SSH密钥。

3. 临时关闭沙箱（仅测试用，不推荐） #

如果只是想快速验证问题根源，可以临时关闭Nix沙箱：

./scripts/ghci-backend --option build-use-sandbox false

如果这样能成功，就确认是沙箱限制了SSH密钥的访问，但还是建议用前两种方案——关闭沙箱会降低构建环境的安全性。

最后补充下为什么同事旧版OSX没问题：旧版OSX的系统安全策略没那么严格，加上早期Nix的沙箱配置可能默认允许访问用户目录的SSH密钥，而Mojave收紧了这些权限，才导致了这种版本差异。

内容的提问来源于stack exchange，提问作者reallymemorable