如何在CircleCI环境的Dockerfile中使用私有代码仓库

算力阿峰

2026-10-3

结论

不需要将SSH密钥直接传入Dockerfile，这种操作会带来密钥泄露风险，优先选择以下最优方案：

方案1：复用CI预下载的依赖缓存（首推，构建最快、无安全风险）

你已经在CircleCI任务的go mod download步骤完成了所有依赖的拉取，依赖默认存储在CI环境的$GOPATH/pkg/mod路径下，构建Docker镜像时直接将该路径挂载到构建容器的对应GOPATH路径即可，容器内执行go build时会直接读取缓存的依赖，不会触发重新下载：

CircleCI构建镜像的命令调整为：

docker build -t your-image-tag \
  --build-arg GOPATH=/go \
  -v $GOPATH/pkg/mod:/go/pkg/mod \
  .

Dockerfile无需修改原有go build逻辑，即可正常完成构建。

方案2：Docker BuildKit秘密挂载（适用于必须在容器内拉取依赖的场景）

如果你的构建逻辑要求必须在Docker容器内部完成依赖拉取，使用BuildKit的秘密挂载功能传递SSH密钥，密钥只会存在于构建临时层，不会写入最终镜像：

先在CircleCI任务中开启BuildKit支持：

export DOCKER_BUILDKIT=1

调整构建命令，传入本地SSH密钥：

docker build -t your-image-tag \
  --secret id=ssh,src=$HOME/.ssh/id_rsa \
  .

Dockerfile按多阶段构建写法调整，示例如下：

# 构建阶段
FROM golang:1.22 AS builder
WORKDIR /app
# 配置git使用SSH协议拉取私有仓库
RUN git config --global url."git@你的私有仓库域名:".insteadOf "https://你的私有仓库域名/"
# 挂载SSH密钥执行依赖拉取
RUN --mount=type=secret,id=ssh,target=/root/.ssh/id_rsa \
    go mod download
COPY . .
RUN go build -o app ./app/

# 最终运行镜像阶段，仅保留二进制文件，无任何密钥信息
FROM alpine:3.20
COPY --from=builder /app/app /usr/local/bin/
CMD ["app"]