Docker 构建中可通过 SSH Agent Forwarding + 多阶段构建安全拉取私有 Git 仓库：宿主机需配置好 ssh-agent 和 ~/.ssh/config（含 ForwardAgent yes），构建时启用 DOCKER_BUILDKIT=1 并使用 --ssh default，Dockerfile 中用 RUN --mount=type=ssh,id=default 执行 SSH 格式 git clone，确保镜像含 git 和 openssh-client。
在 Docker 构建过程中拉取私有 Git 仓库（如 GitHub、GitLab、自建 Gitee 或内部 Git）时，不能直接用密码或交互式 SSH 认证。但可以通过
SSH Agent Forwarding + 多阶段构建 + 正确的 SSH 配置
实现无密码、安全、可复用的私有源码拉取。
前提：宿主机已配置好可用的 SSH 密钥对
确保你的构建机（即运行
的机器）已生成并添加了 SSH 密钥到
，且该密钥已被授权访问目标私有仓库：
运行
确认密钥已加载
确认
中为私有仓库设置了 Host 别名（例如
），并启用
测试本地能直接
构建时启用 SSH Agent 转发（关键步骤）
Docker 20.10+ 原生支持
构建参数，无需挂载
目录（不安全），也不依赖
以外的额外配置（但需开启 BuildKit）：
构建命令中加入
（默认转发当前 ssh-agent）
示例：
若使用自定义 agent socket，可指定路径如
Dockerfile 中正确使用 SSH 拉取代码
在 Dockerfile 的构建阶段（尤其是 builder 阶段），通过
挂载 SSH socket，并在 shell 环境中启用 Git 的 SSH 协议：
必须与
中的标识一致
Git URL 必须是 SSH 格式（
），不能是 HTTPS
确保基础镜像含
和
（Alpine 需
）
进阶：适配不同 Git 主机或免 HostKey 检查
若遇到 “Host key verification failed”，可在挂载 SSH 的同时注入自定义
或临时禁用检查（仅限可信内网）：
方法一（推荐）：构建时挂载配置文件：
，并在 Dockerfile 中
方法二（谨慎）：在
中临时设置：
避免硬编码密钥、避免 COPY ~/.ssh/id_rsa —— 这会污染镜像且违反最小权限原则
docker buildssh-agentssh-add -l~/.ssh/configgitlab.internalForwardAgent yesgit clone git@gitlab.internal:user/repo.git--ssh~/.sshDOCKER_BUILDKIT=1--ssh defaultDOCKER_BUILDKIT=1 docker build --ssh default -t myapp .--ssh id_rsa=/path/to/sockRUN --mount=type=sshFROM golang:1.22-alpine AS builder
# 启用 SSH mount，仅限该 RUN 指令生效
RUN --mount=type=ssh,id=default git clone git@gitlab.internal:user/private-repo.git /src/private-repo
FROM alpine:latest
COPY --from=builder /src/private-repo /app/
CMD ["sh"]
id=default--ssh defaultgit@host:path.gitgitopenssh-clientapk add --no-cache git openssh-client~/.ssh/config--ssh config=/path/to/ssh_config--mount=type=ssh,id=configRUNenv GIT_SSH_COMMAND="ssh -o StrictHostKeyChecking=no" git clone ...