Docker镜像构建时通过SSH克隆Bitbucket仓库失败问题求助

看起来你遇到的问题很典型——手动操作容器一切顺畅，一到Docker镜像构建就翻车，我来帮你排查几个关键的坑：

1. 先补全未完成的ssh-keyscan命令 #

你的Dockerfile最后一行明显截断了，正确的命令应该是：

RUN ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts

如果没把Bitbucket的主机密钥写入known_hosts，SSH连接时会弹出主机验证的交互提示，而Docker构建全程是非交互式的，这直接会导致克隆操作中断失败。

2. 检查私钥的写入格式 #

你用echo -e写入私钥时，要确保括号里的(...)部分完整保留了私钥的所有换行。如果私钥的换行被错误转义，SSH会识别为无效密钥。更稳妥的方式是把私钥文件单独放在构建上下文里，用COPY命令复制：

# 假设你的私钥文件名为bitbucket_rsa，和Dockerfile在同一目录
COPY bitbucket_rsa /root/.ssh/id_rsa
RUN chmod 400 /root/.ssh/id_rsa

这种方式能彻底避免echo转义带来的格式错乱问题。

3. 处理SSH的交互验证问题 #

即使正确配置了known_hosts，有时还是会因为主机密钥匹配的细节报错，可以临时关闭StrictHostKeyChecking来跳过交互：

RUN echo "StrictHostKeyChecking no" >> /root/.ssh/config

不过这个方法会降低安全性，建议只在测试环境用，生产环境还是要确保known_hosts的内容准确无误。

4. 先验证SSH连通性 #

可以在Dockerfile里加一行测试命令，确认能正常连接到Bitbucket：

RUN ssh -T git@bitbucket.org

如果构建时这一步失败，就能明确是SSH身份验证的问题——比如密钥没正确添加到Bitbucket的用户/仓库权限列表，或者密钥本身格式错误。

最佳实践：别在Dockerfile里硬编码私钥 #

把私钥直接写在Dockerfile里非常不安全，镜像会永久包含敏感信息。推荐用构建参数来传递密钥：

ARG SSH_PRIVATE_KEY
RUN echo "$SSH_PRIVATE_KEY" > /root/.ssh/id_rsa && chmod 400 /root/.ssh/id_rsa

构建时通过命令传递密钥：

docker build --build-arg SSH_PRIVATE_KEY="$(cat ~/.ssh/bitbucket_rsa)" -t your-image .

按照上面的步骤调整后，应该就能解决构建时克隆代码失败的问题了。

内容的提问来源于stack exchange，提问作者Victor