如何在Gradle任务中通过Git应用认证克隆私有Git仓库？

当然可以通过Git的内置认证机制替代URI中明文携带凭据的方式，既安全又符合最佳实践。以下是几种可行方案：

1. Git凭据助手（推荐） #

Git的凭据助手可以安全存储你的账号密码，后续执行Git命令时会自动调用，无需重复输入或在代码中硬编码。

配置方式 #

先在本地终端配置对应系统的凭据助手：

• macOS：git config --global credential.helper osxkeychain
• Windows：git config --global credential.helper wincred
• Linux：git config --global credential.helper libsecret

配置完成后，手动执行一次git clone https://github.com/element5inc/e5-platform-devkit.git，输入一次账号密码，Git会自动将凭据存储到系统密钥链中。

修改后的Gradle任务 #

task cloneRepository(type: Exec) {
    def rootDirectory = System.getProperty("user.home")
    def clonedRepoDirectory = "${rootDirectory}/WRETest"
    def clonedRepoDir = file(clonedRepoDirectory)
    if (!clonedRepoDir.exists()) {
        clonedRepoDir.mkdirs()
    }
    // 直接使用不带凭据的HTTPS URL，Git会自动调用凭据助手
    def gitURL = "https://github.com/element5inc/e5-platform-devkit.git"
    commandLine 'git', 'clone', '-b', 'dev', gitURL, clonedRepoDirectory
}

2. 通过环境变量传递凭据 #

如果需要在CI/CD环境中临时传递凭据，可以将用户名和密码存入环境变量，再通过Git的临时配置参数传递，避免明文暴露在代码或命令行历史中。

修改后的Gradle任务 #

task cloneRepository(type: Exec) {
    def rootDirectory = System.getProperty("user.home")
    def clonedRepoDirectory = "${rootDirectory}/WRETest"
    def clonedRepoDir = file(clonedRepoDirectory)
    if (!clonedRepoDir.exists()) {
        clonedRepoDir.mkdirs()
    }
    // 从环境变量读取凭据（需提前设置GIT_USERNAME和GIT_PASSWORD）
    def gitUsername = System.getenv("GIT_USERNAME")
    def gitPassword = System.getenv("GIT_PASSWORD")
    // 通过Git临时配置传递凭据，避免URI明文
    commandLine 'git', 
                '-c', "credential.username=${gitUsername}", 
                '-c', "credential.helper='!f() { echo password=${gitPassword}; }; f'", 
                'clone', '-b', 'dev', 
                'https://github.com/element5inc/e5-platform-devkit.git', 
                clonedRepoDirectory
}

3. 改用SSH协议克隆 #

如果仓库支持SSH访问，将本地SSH公钥添加到GitHub的部署密钥或个人SSH密钥列表中，即可无凭据克隆，安全性最高。

修改后的Gradle任务 #

task cloneRepository(type: Exec) {
    def rootDirectory = System.getProperty("user.home")
    def clonedRepoDirectory = "${rootDirectory}/WRETest"
    def clonedRepoDir = file(clonedRepoDirectory)
    if (!clonedRepoDir.exists()) {
        clonedRepoDir.mkdirs()
    }
    // 使用SSH URL，无需凭据
    def gitURL = "git@github.com:element5inc/e5-platform-devkit.git"
    commandLine 'git', 'clone', '-b', 'dev', gitURL, clonedRepoDirectory
}

重要提醒 #

原代码中将密码硬编码在脚本中（即使做了URL编码）存在严重的安全风险，绝对不要在生产环境或公共仓库中使用这种方式，上述方案均为规避硬编码凭据的安全实践。

内容的提问来源于stack exchange，提问作者MarkAntony007