Docker中从私有Nuget源执行restore出现UntrustedRoot证书错误如何解决

问题核心原因 #

首先明确两个容易混淆的点：

• nuget.config中的trustedSigners配置仅用于校验NuGet包本身的数字签名，和私有源站点的SSL证书信任校验无关，你当前的报错是SSL通信层面的根证书不信任，和该配置无关
• Chrome默认导出的CER证书大概率是DER二进制格式，Debian系Linux（官方.NET镜像基于Debian）的update-ca-certificates仅识别PEM格式、后缀为.crt的证书文件

修复步骤 #

1. 转换证书为正确格式 #

首先确认你导出的是私有源站点对应的根CA证书（不要导出站点叶子证书或中间证书），然后执行格式转换：

• 打开证书文件，若内容不是以-----BEGIN CERTIFICATE-----开头，说明是DER格式，执行openssl命令转换：

openssl x509 -inform DER -in MyCertificate.cer -out cacert.crt

• 转换后的cacert.crt放到项目根目录备用。

2. 修正Dockerfile中证书导入逻辑 #

官方.NET 5 SDK镜像为精简版，需要先确保ca-certificates工具正常，且给证书正确权限，修改build阶段的证书相关代码：

FROM mcr.microsoft.com/dotnet/sdk:5.0 AS build
# 先安装更新ca-certificates工具，清理缓存减少镜像体积
RUN apt-get update && apt-get install -y ca-certificates && rm -rf /var/lib/apt/lists/*
# 复制转换好的PEM格式证书到指定目录
COPY ["cacert.crt", "/usr/local/share/ca-certificates/cacert.crt"]
# 给证书读权限，然后更新系统信任证书库
RUN chmod 644 /usr/local/share/ca-certificates/cacert.crt && update-ca-certificates

# 后面原有逻辑不变
WORKDIR /src
COPY ["nuget.config", "MyApplication.API/"]
COPY ["MyApplication.API/MyApplication.API.csproj", "MyApplication.API/"]
RUN dotnet restore --configfile MyApplication.API/nuget.config MyApplication.API/MyApplication.API.csproj -v d

3. 排查验证（可选） #

如果修改后仍报错，可以进入临时容器验证证书是否正常导入：

# 启动临时build镜像容器
docker run --rm -it mcr.microsoft.com/dotnet/sdk:5.0 bash
# 容器内执行：手动导入证书后测试私有源连通性
apt-get update && apt-get install -y ca-certificates curl
# 把你的cacert.crt内容粘贴到/usr/local/share/ca-certificates/cacert.crt
chmod 644 /usr/local/share/ca-certificates/cacert.crt && update-ca-certificates
# 测试访问私有源，无SSL报错说明证书导入正常
curl https://my.private.repository.net/collections/_packaging/MY-PRIVATE-FEED/nuget/v3/index.json

临时调试方案（禁止生产环境使用） #

如果仅本地调试需要快速解决，可以在restore前添加环境变量禁用SSL证书校验：

# 仅本地调试用，生产环境必须删除
ENV DOTNET_SYSTEM_NET_SECURITY_DISABLE_CERTIFICATE_VALIDATION=1
RUN dotnet restore --configfile MyApplication.API/nuget.config MyApplication.API/MyApplication.API.csproj -v d

内容的提问来源于stack exchange，提问作者Valerie Linc