如何在Endly构建Docker镜像时安全配置GitHub私有仓库凭据

你遇到的是在Docker容器内通过Endly构建Go应用时，拉取GitHub私有仓库需要身份验证但不想硬编码凭据的问题，下面提供几种安全的解决方案：

方法1：利用Git凭据助手（推荐） #

Go的go get会调用Git，你可以在构建流程中配置Git使用凭据助手，把GitHub的个人访问令牌（PAT）通过环境变量安全传递：

• 先在GitHub生成一个个人访问令牌（PAT），勾选repo权限（确保能拉取私有仓库）
• 修改app.yaml里的commands部分，添加Git凭据配置：

commands:
  - export GOPATH=/tmp/go
  - git config --global credential.helper 'store --file ~/.git-credentials'
  - echo "https://${GITHUB_TOKEN}:x-oauth-basic@github.com" >> ~/.git-credentials
  - cd $buildPath/myapp
  - go get -u .
  - export CGO_ENABLED=0
  - go build -o $app
  - chmod +x $app

运行Endly时，把PAT作为环境变量传入：

GITHUB_TOKEN=你的个人访问令牌 endly -r=app

这种方式不会把凭据硬编码在配置文件里，完全通过环境变量传递，安全性更高。

方法2：使用SSH代理转发 #

如果你的本地机器已经配置好GitHub的SSH密钥，能正常拉取私有仓库，可以让Docker容器通过SSH代理转发复用本地凭据：

• 修改app.yaml的credentials部分，开启SSH代理转发：

credentials:
  localhost:
    ssh:
      agentForwarding: true

• 确保本地SSH代理处于运行状态（执行ssh-add -l能看到你的GitHub密钥）
• 在构建命令中添加Git配置，让go get用SSH协议拉取仓库：

commands:
  - export GOPATH=/tmp/go
  - git config --global url.git@github.com:.insteadOf https://github.com/
  - cd $buildPath/myapp
  - go get -u .
  - export CGO_ENABLED=0
  - go build -o $app
  - chmod +x $app

这样容器会通过本地SSH密钥完成身份验证，无需额外传递令牌。

方法3：使用Endly内置秘密管理 #

Endly自带秘密管理功能，可以把GitHub凭据存储在Endly的秘密仓库中，配置里直接引用即可：

1. 先把PAT存入Endly秘密存储：

endly -c='secret:set name=github_pat value=你的个人访问令牌'

2. 修改app.yaml的commands部分，引用这个秘密变量：

commands:
  - export GOPATH=/tmp/go
  - git config --global credential.helper 'store --file ~/.git-credentials'
  - echo "https://${github_pat}:x-oauth-basic@github.com" >> ~/.git-credentials
  - cd $buildPath/myapp
  - go get -u .
  - export CGO_ENABLED=0
  - go build -o $app
  - chmod +x $app

运行Endly时，它会自动注入这个秘密变量，避免凭据暴露在配置文件里。

内容的提问来源于stack exchange，提问作者kyle-la