如何通过spring-boot:build-image将CA证书嵌入Spring Boot Docker镜像

常见疑问解答 #

• 证书存放位置：本地只要是能被Maven正常读取的路径都可使用，最终需要通过绑定配置挂载到构建容器的/platform/bindings/下的子目录中，你当前使用的${basedir}/bindings/ca-certificates路径本身符合要求。
• 证书格式要求：必须是PEM格式的公钥证书，后缀可使用.pem、.crt、.cer，禁止直接上传私钥文件，单个PEM文件可放置多段证书链，buildpack会自动识别加载。
• paketo ca-certificates绑定定义：绑定需要满足两个核心要求：1. 挂载的本地目录下必须存在名为type的文件，内容固定为ca-certificates；2. 同目录下存放所有需要注入的PEM格式证书，绑定的写法统一为本地目录绝对/相对路径:/platform/bindings/自定义绑定名，绑定名可随意设置，只要type文件内容正确即可生效。
• mvn命令额外参数：如果pom中已经正确配置了bindings参数，不需要额外传参；如果需要临时覆盖pom配置，可补充-Dspring-boot.build-image.bindings=绑定路径参数。

现有配置问题排查 #

你当前的配置框架没有问题，未生效大概率是以下细节问题导致：

1. Spring Boot版本低于2.5：2.5以下版本的spring-boot-maven-plugin不支持<bindings>配置项，需要升级插件版本或者改用命令行参数传递绑定规则。
2. 证书文件无效：可执行openssl x509 -in mycert.pem -text -noout验证证书合法性，禁止直接将私钥、JKS格式证书改后缀后直接使用。
3. type文件内容异常：文件内容必须严格为ca-certificates，不能有多余空格、换行，Windows环境下创建的文件需要注意不要带BOM头。
4. 使用了无内置ca-certificates buildpack的自定义builder：需要手动指定buildpack列表，确保ca-certificates buildpack被加载。

完整可复现操作流程 #

1. 升级spring-boot-maven-plugin到2.5及以上版本，修改pom配置：

<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <configuration>
        <image>
            <buildpacks>
                <buildpack>paketo-buildpacks/ca-certificates</buildpack>
                <buildpack>paketo-buildpacks/java</buildpack>
            </buildpacks>
            <bindings>
                <binding>${basedir}/bindings/ca-certificates:/platform/bindings/ca-certificates</binding>
            </bindings>
        </image>
    </configuration>
    <executions>
        <execution>
            <goals>
                <goal>build-image</goal>
            </goals>
        </execution>
    </executions>
</plugin>

注意将<image>配置放到plugin全局配置下，不要仅放在execution配置块内，避免手动执行mvn命令时读取不到配置。
2. 项目根目录下创建绑定目录和文件：

mkdir -p bindings/ca-certificates
echo -n "ca-certificates" > bindings/ca-certificates/type
# 替换为实际的证书路径
cp /path/to/your/custom-ca.crt bindings/ca-certificates/

3. 执行构建命令：

mvn clean spring-boot:build-image

4. 验证证书注入结果：

# 检查系统证书库
docker run --rm 你的镜像名:tag find /etc/ssl/certs -name "*custom_ca*"
# 检查JDK默认信任库
docker run --rm 你的镜像名:tag keytool -list -cacerts -storepass changeit | grep 证书别名

内容的提问来源于stack exchange，提问作者ch4mp