如何在GitLab CI的Kaniko构建中使用SSH密钥以安装Composer私有依赖？

咱们一步步来解决这个问题，你已经在GitLab CI配置里传递了SSH_PRIVATE_KEY这个构建参数，接下来核心是在Dockerfile里正确处理这个密钥，让Composer能通过SSH访问私有仓库，具体步骤如下：

1. 确认GitLab CI变量配置正确 #

首先确保你已经在项目的CI/CD变量里添加了SSH_PRIVATE_KEY：

• 变量值就是能访问私有Git仓库的SSH私钥（注意不要带多余的换行或空格）
• 变量类型选择「掩码」，防止密钥泄露
• 如果你的分支是受保护的，记得勾选「在受保护分支中可用」

2. 修改Dockerfile，注入并使用SSH密钥 #

这是最关键的一步，要在构建过程中临时注入密钥，用完立即清理，避免敏感信息留在镜像里。以下是适配PHP-FPM镜像的示例（你可以根据自己的基础镜像调整）：

FROM php:8.2-fpm

# 先安装必要依赖，包括SSH客户端和Git
RUN apt-get update && apt-get install -y \
    git \
    openssh-client \
    unzip \
    # 这里加上你的PHP扩展依赖，比如zip、mbstring等
    && rm -rf /var/lib/apt/lists/*

# 安装Composer
RUN curl -sS https://getcomposer.org/installer | php -- --install-dir=/usr/local/bin --filename=composer

# 从构建参数接收SSH密钥，并配置SSH环境
ARG SSH_PRIVATE_KEY
RUN if [ -n "$SSH_PRIVATE_KEY" ]; then \
    # 创建SSH目录并设置权限
    mkdir -p ~/.ssh && \
    # 写入私钥
    echo "$SSH_PRIVATE_KEY" > ~/.ssh/id_rsa && \
    # SSH对私钥权限要求严格，必须设为600
    chmod 600 ~/.ssh/id_rsa && \
    # 添加私有仓库的主机到known_hosts，避免首次连接的确认提示
    # 这里替换成你的私有仓库主机，比如gitlab.com、github.com或者自托管的Git服务器地址
    ssh-keyscan github.com gitlab.com >> ~/.ssh/known_hosts; \
fi

# 复制项目代码到镜像中
COPY . /var/www/html

# 安装Composer私有依赖
RUN composer install --no-dev --optimize-autoloader

# 关键：安装完成后立即删除SSH密钥，清理敏感信息
RUN rm -rf ~/.ssh

# 后续的镜像配置步骤，比如设置工作目录、权限等
WORKDIR /var/www/html
RUN chown -R www-data:www-data /var/www/html

3. 完善GitLab CI的Kaniko配置 #

你现有的gitlab-ci.yaml已经传递了SSH_PRIVATE_KEY构建参数，这里再确认几个细节：

• 确保SSH_PRIVATE_KEY变量在CI环境中能正常读取（可以在script里临时加一行echo "$SSH_PRIVATE_KEY"测试，记得测试后删掉，避免泄露）
• Kaniko的executor命令要完整，比如你之前截断的--ta...要补充成完整参数，确保命令没有语法错误
• 缓存配置可以保留，用来加速后续构建

常见问题排查 #

如果还是无法拉取私有依赖，可以检查这几点：

• 本地测试SSH密钥是否能正常clone私有仓库，确认密钥权限正确
• 检查Composer.json里的私有仓库地址是否是SSH格式（比如git@xxx.com:user/repo.git，而不是HTTPS地址）
• 查看CI构建日志，确认SSH密钥是否正确写入，有没有权限错误提示

备注：内容来源于stack exchange，提问作者qpkq