如何绕过LibGit2Sharp的CertificateCheck或解决SSL克隆故障？

错误原因 #

unknown certificate lookup failure: 16842816 是LibGit2Sharp（.NET操作Git的底层依赖库）的证书验证错误，根源是控制台应用环境下，库无法正常访问系统证书存储，或者配置的证书回调未生效。命令行克隆正常是因为Git CLI默认使用系统证书链，而控制台应用的运行上下文存在权限或配置差异。

解决方案 #

1. 跳过证书验证（仅测试环境使用） #

方式一：设置环境变量

在克隆代码执行前添加环境变量，强制LibGit2Sharp跳过SSL验证：

Environment.SetEnvironmentVariable("GIT_SSL_NO_VERIFY", "true");

方式二：证书回调+底层配置

如果单独设置CertificateCheck回调无效，结合环境变量彻底禁用验证：

var fetchOptions = new FetchOptions
{
    CustomHeaders = new[] { $"Authorization: Bearer {bearerToken}" },
    CertificateCheck = (cert, valid, host) => true
};

// 针对不同系统设置无效CA路径，强制跳过验证
if (OperatingSystem.IsWindows())
    Environment.SetEnvironmentVariable("GIT_SSL_CAINFO", "NUL");
else
    Environment.SetEnvironmentVariable("GIT_SSL_CAINFO", "/dev/null");

Repository.Clone(gitLocation, dir, new CloneOptions(fetchOptions));

2. 加载自定义证书（生产环境推荐） #

如果需要合规的证书验证，直接指定Git服务器的CA证书：

方式一：通过环境变量指定证书文件

将Ingress使用的CA证书保存为本地文件，设置环境变量指向该文件：

// Windows示例
Environment.SetEnvironmentVariable("GIT_SSL_CAINFO", @"C:\path\to\ca.crt");
// Linux/macOS示例
// Environment.SetEnvironmentVariable("GIT_SSL_CAINFO", "/opt/certs/ca.crt");

var fetchOptions = new FetchOptions
{
    CustomHeaders = new[] { $"Authorization: Bearer {bearerToken}" }
};
Repository.Clone(gitLocation, dir, new CloneOptions(fetchOptions));

方式二：内存中验证证书

如果证书嵌入在应用内，可在回调中手动验证：

// 加载CA证书（可从嵌入资源或文件读取）
var trustedCa = new X509Certificate2(@"C:\path\to\ca.crt");

var fetchOptions = new FetchOptions
{
    CustomHeaders = new[] { $"Authorization: Bearer {bearerToken}" },
    CertificateCheck = (cert, valid, host) =>
    {
        var serverCert = new X509Certificate2(cert.Data);
        // 验证服务器证书是否由信任的CA签发
        return serverCert.Issuer.Equals(trustedCa.Subject, StringComparison.OrdinalIgnoreCase);
    }
};

Repository.Clone(gitLocation, dir, new CloneOptions(fetchOptions));

注意事项 #

• 确保控制台应用有证书文件的读取权限（如果使用文件路径）。
• 升级LibGit2Sharp到最新稳定版，旧版本存在证书回调的兼容性问题。
• 若Ingress使用自签名证书，必须确保CA证书完整且有效，否则即使跳过验证也可能出现连接失败。

内容的提问来源于stack exchange，提问作者Ernesto98