如何在Dockerfile中安装私有Git包

背景

有一个主项目名为Web，Web中通过Yarn引用了一个二次封装的UI组件包，下文统一叫Design，部署的形式也比较常见，即dockerfile构建镜像。

需要解决的问题

由于Design不能以public的形式暴露出来，避免代码流出。我能想到的解决方式有两种：

1. 直接使用username+password的形式install，如：

yarn add git+http://<username>:<password>@<git remote url>#<branch|tag|commitId>

但这种方式暴露了自己的账号，安全性极低，所以一般都是首先排除的对象

2. 使用ssh的形式install，如：

yarn add git+ssh://git@<git remote url>#<branch|tag|commitId>

这种看起来就安全多了，在具备安全性的同时，也就不可避免的需要开发人员（对，也就是你自己🫡）做一些额外的工作，那么，需要从哪里入手呢，我们一步一步来说…

Step1: 生成密钥并将其添加到私有Git仓库中，确保能使用git+ssh的方式clone Repo

具体参见ssh

# 生成密钥，回车，根据提示操作
ssh-keygen -t rsa -C "demo@tanzhishuju.com"
# 完成之后，如果没有更改存储位置，一般会默认到～/.ssh/下面
cd ~/.ssh
# 以.pub结尾的叫公钥，没有的是私钥

Step2: 在主项目中携带生成的私钥

这一步是一个手动执行的过程，需要将Step 1存储的私钥拷贝一份放到主项目的.ssh目录下（可更改，同步修改配置文件读取目录即可）

Step3: 调整Dockerfile配置

FROM node:16-alpine
ARG SSH_KEY
ARG GIT_HOST=127.0.0.1
ARG NPM_REPO=https://registry.npmmirror.com
RUN apk add git openssh
# 注入内部ssh私钥
RUN mkdir -p ~/.ssh && chmod 600 ~/.ssh \
    # 将构建时传入的私钥写入～/.ssh
    && echo "$SSH_KEY" > ~/.ssh/id_rsa && chmod 600 ~/.ssh/id_rsa \
    # 增加openssh对内部gitlab的服务器host解析
    && ssh-keyscan $GIT_HOST > ~/.ssh/known_hosts \
    # 增加openssh对ssh-rsa加密算法的支持
    && echo $'Host *\nPubkeyAcceptedKeyTypes +ssh-rsa\n' > ~/.ssh/config
WORKDIR /app
COPY . .
RUN yarn install --registry=$NPM_REPO \
    && yarn build \
    && apk del git openssh

FROM nginx:stable-alpine
WORKDIR /usr/share/nginx/html
COPY --from=0 /app/packages/web/dist .
COPY ./nginx.conf /etc/nginx/conf.d/default.conf

EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

结尾

如有更好的解决方案，欢迎👏交流，The ending…