如何使用PKCS#12证书通过mTLS访问自托管Git LFS服务器？

一、先确保PFX证书转换正确（跨系统通用步骤） #

很多认证错误源于证书转换不规范，用以下OpenSSL命令提取所需文件：

• 提取无加密的客户端私钥（避免每次输入密码，若需加密可去掉-nodes参数）：

  openssl pkcs12 -in your-cert.pfx -nocerts -out client-key.pem -nodes
  

• 提取客户端证书：

  openssl pkcs12 -in your-cert.pfx -clcerts -nokeys -out client-cert.pem
  

• 提取Cloudflare CA证书（用于信任服务器端证书，可选但建议）：

  openssl pkcs12 -in your-cert.pfx -cacerts -nokeys -out ca-cert.pem
  

二、Ubuntu系统配置 #

1. 单仓库专属配置 #

进入目标Git仓库目录，执行以下命令绑定证书：

# 指定LFS服务器地址（如果.lfsconfig已配置可跳过）
git config lfs.url https://your-giftless-server.com/lfs
# 绑定客户端证书和私钥
git config http.sslCert /absolute/path/to/client-cert.pem
git config http.sslKey /absolute/path/to/client-key.pem
# 若需信任CA证书，添加以下配置
git config http.sslCAInfo /absolute/path/to/ca-cert.pem

如果私钥是加密的，可配置凭证助手自动填充密码：

# 用libsecret存储密码（更安全）
git config credential.helper /usr/share/doc/git/contrib/credential/libsecret/git-credential-libsecret
# 或临时用明文存储（仅测试用，不推荐）
git config http.sslPassword "your-pfx-password"

2. 全局系统配置（所有仓库生效） #

在命令前添加--global参数即可：

git config --global http.sslCert /absolute/path/to/client-cert.pem
git config --global http.sslKey /absolute/path/to/client-key.pem
git config --global http.sslCAInfo /absolute/path/to/ca-cert.pem

也可将CA证书导入系统信任库，让所有工具自动识别：

sudo cp ca-cert.pem /usr/local/share/ca-certificates/cloudflare-ca.crt
sudo update-ca-certificates

三、Windows系统配置 #

1. Git Bash 手动配置 #

和Ubuntu操作逻辑一致，在Git Bash中执行相同的git config命令，路径用Git Bash格式（比如/c/Users/YourName/certs/client-cert.pem）。

2. 利用系统证书存储（推荐） #

Windows版Git（含Git Bash）默认会读取系统证书存储，无需手动配置文件：

• 双击PFX证书文件，选择导入到「当前用户」或「本地计算机」的个人证书存储
• 导入时可勾选「标记此密钥为可导出」（方便后续备份）
• 完成导入后，Git和Git LFS会自动调用系统中的客户端证书，无需额外配置

四、常见问题排查 #

• 认证失败：用openssl s_client -connect your-giftless-server.com:443 -cert client-cert.pem -key client-key.pem测试SSL连接是否正常，排查证书或私钥是否匹配
• LFS推送无响应：检查.lfsconfig中的lfs.url是否与Git配置一致，LFS会直接继承Git的HTTP配置
• 密码弹窗频繁：确保凭证助手配置正确，或使用无加密私钥（仅在可信环境下）

内容的提问来源于stack exchange，提问作者seraph