如何使git接受自签名证书？

Question

使用Git，有没有办法告诉它接受自签名证书？

我使用https服务器来托管git服务器，但目前证书是自签名的。

当我第一次尝试在那里创建回购时：

git push origin master -f

我得到的错误：

error: Cannot access URL     
https://the server/git.aspx/PocketReferences/, return code 22

fatal: git-http-push failed

Answer 1

我不是[编辑：现有答案的原始版本的超级粉丝，因为禁用安全检查应该是最后的手段，而不是提供的第一个解决方案。即使您不能在第一次接收时信任自签名证书而不使用一些额外的验证方法，但在后续的git操作中使用该证书至少会使只有在下载证书后才会发生的攻击变得更加困难。换句话说，如果你下载的证书是真实的，那么从那时起你就很好了。相反，如果你只是禁用验证，那么你在任何时候都很容易受到任何类型的中间人攻击。

举一个具体的例子：著名的repo.or.cz存储库提供了一个自签名证书。我可以下载那个文件，把它放在像/etc/ssl/certs这样的地方，然后这样做：

# Initial clone
GIT_SSL_CAINFO=/etc/ssl/certs/rorcz_root_cert.pem \
    git clone https://repo.or.cz/org-mode.git

# Ensure all future interactions with origin remote also work
cd org-mode
git config http.sslCAInfo /etc/ssl/certs/rorcz_root_cert.pem

请注意，在这里使用本地git config（即没有--global）意味着这个自签名证书仅受这个特定存储库的信任，这很好。它也比使用GIT_SSL_CAPATH更好，因为它消除了git通过可能受到损害的不同证书授权中心进行验证的风险。

Answer 2

您可以设置GIT_SSL_NO_VERIFY为true：

GIT_SSL_NO_VERIFY=true git clone https://example.com/path/to/git

或者，在命令行上将Git配置为不验证连接：

git -c http.sslVerify=false clone https://example.com/path/to/git

请注意，如果不验证SSL/TLS证书，则容易受到MitM攻击。

Answer 3

试试http。sslCAPath或http。sslCAInfo。亚当·斯皮尔斯的回答给出了一些很好的例子。这是这个问题最安全的解决方案。

尝试使用正确的配置变量将-c传递到git，或者使用Flow的答案：

git -c http.sslVerify=false clone https://example.com/path/to/git

可以全局停用ssl验证。强烈建议不要这样做，但出于完整性考虑：

git config --global http.sslVerify false # Do NOT do this!

在git中有相当多的SSL配置选项。从git config的手册页：

http.sslVerify
    Whether to verify the SSL certificate when fetching or pushing over HTTPS.
    Can be overridden by the GIT_SSL_NO_VERIFY environment variable.

http.sslCAInfo
    File containing the certificates to verify the peer with when fetching or pushing
    over HTTPS. Can be overridden by the GIT_SSL_CAINFO environment variable.

http.sslCAPath
    Path containing files with the CA certificates to verify the peer with when
    fetching or pushing over HTTPS.
    Can be overridden by the GIT_SSL_CAPATH environment variable.

其他一些有用的SSL配置选项：

http.sslCert
    File containing the SSL certificate when fetching or pushing over HTTPS.
    Can be overridden by the GIT_SSL_CERT environment variable.

http.sslKey
    File containing the SSL private key when fetching or pushing over HTTPS.
    Can be overridden by the GIT_SSL_KEY environment variable.

http.sslCertPasswordProtected
    Enable git's password prompt for the SSL certificate. Otherwise OpenSSL will
    prompt the user, possibly many times, if the certificate or private key is encrypted.
    Can be overridden by the GIT_SSL_CERT_PASSWORD_PROTECTED environment variable.