如何在无本地认证凭据的情况下通过代理执行Git操作？

核心思路 #

让认证操作在隔离的本地代理后端完成，代理后端持有密钥/令牌，且严格限制用户（即使拥有root权限）无法直接获取或访问这些凭据，同时保持Git的正常操作流程。

方案一：隔离用户+受限SSH执行 #

步骤 #

1. 创建专用系统用户，禁止登录：

   useradd -r -s /usr/sbin/nologin git-proxy
   

   这个用户的shell被限制，即使root也无法直接通过su git-proxy进入其环境。

2. 部署SSH密钥到该用户的家目录：

   mkdir -m 700 /home/git-proxy/.ssh
   cp your-private-key /home/git-proxy/.ssh/id_rsa
   chmod 600 /home/git-proxy/.ssh/id_rsa
   chown -R git-proxy:git-proxy /home/git-proxy/.ssh
   

   目录和密钥的权限严格锁定，只有git-proxy用户能读取。

3. 配置Git使用该用户执行SSH：
   在用户的Git配置（~/.gitconfig）或仓库本地配置（.git/config）中添加：

   [core]
       sshCommand = sudo -u git-proxy ssh -i /home/git-proxy/.ssh/id_rsa
   

   每次Git的SSH操作都会切换到git-proxy用户执行，用户无法直接读取该用户的密钥文件（配合SELinux/AppArmor限制，可进一步阻止root读取）。

方案二：本地HTTP代理自动注入认证 #

步骤 #

1. 搭建轻量本地HTTP代理（以Python Flask为例）：
   写一个简单的代理脚本，转发请求时自动添加Git认证令牌（比如平台专属的个人访问令牌）：

   from flask import Flask, request, Response
   import requests
   
   app = Flask(__name__)
   GIT_TOKEN = "your-private-access-token"
   TARGET_DOMAIN = "github.com"
   
   @app.route('/', defaults={'path': ''})
   @app.route('/<path:path>')
   def proxy(path):
       url = f"https://{TARGET_DOMAIN}/{path}"
       headers = dict(request.headers)
       headers['Authorization'] = f"token {GIT_TOKEN}"
       response = requests.request(
           method=request.method,
           url=url,
           headers=headers,
           data=request.get_data(),
           cookies=request.cookies,
           allow_redirects=False
       )
       return Response(response.content, response.status_code, response.headers.items())
   
   if __name__ == '__main__':
       app.run(host='127.0.0.1', port=8080, debug=False)
   

2. 以专用用户运行代理：

   sudo -u git-proxy python3 proxy.py
   

   令牌可存储在只有git-proxy能读取的加密文件中，避免用户直接获取。

3. 修改Git仓库地址指向本地代理：

   git remote set-url origin http://localhost:8080/username/repo.git
   

   后续Git的拉取/推送都会通过本地代理自动完成认证，本地无凭据存储。

方案三：Bubblewrap隔离执行环境 #

针对拥有root权限的用户，用容器级隔离进一步限制凭据访问：

1. 编写Bubblewrap执行脚本（git-ssh-wrapper.sh）：

   #!/bin/bash
   bwrap \
       --ro-bind /usr/bin/ssh /usr/bin/ssh \
       --ro-bind /etc/ssh /etc/ssh \
       --ro-bind /home/git-proxy/.ssh /home/git-proxy/.ssh \
       --unshare-all \
       --share-net \
       /usr/bin/ssh "$@"
   

   这个脚本只挂载SSH必需的文件和git-proxy的密钥目录，完全隔离其他主机文件。

2. 配置Git使用该脚本：

   [core]
       sshCommand = sudo -u git-proxy /path/to/git-ssh-wrapper.sh
   

   即使root用户，也无法直接进入隔离环境读取密钥，只能通过Git触发的SSH操作间接使用。

关键注意事项 #

• 若用户拥有完全root权限，需配合SELinux/AppArmor限制git-proxy用户的文件访问，或使用**硬件安全模块（HSM）**存储密钥，进一步降低凭据泄露风险。
• 所有代理/脚本需设置严格的权限，禁止普通用户修改或执行。

内容的提问来源于stack exchange，提问作者Nikhil G