OpenShift Pipelines构建Tekton任务克隆Git仓库遇认证错误

你遇到的fatal: could not read password错误，本质是Git在非交互容器环境下无法正确读取认证信息，加上直接在URL中硬编码PAT的方式不符合Tekton的最佳实践，导致认证失败。以下是针对性的解决步骤：

1. 确保Secret格式符合Tekton要求 #

Tekton的Git认证依赖标准的kubernetes.io/basic-auth类型Secret，必须包含username和password字段（username可填任意值，比如token，password填你的PAT）：

kubectl create secret generic git-pat-secret \
  --type=kubernetes.io/basic-auth \
  --from-literal=username=token \
  --from-literal=password=你的PAT内容

将该Secret关联到流水线服务账户：

kubectl patch serviceaccount pipeline -p '{"secrets": [{"name": "git-pat-secret"}]}'

2. 使用Tekton官方git-clone任务（推荐） #

不要手动编写git clone脚本，官方的git-clone任务会自动处理Secret认证，避免手动处理URL的麻烦：

tasks:
  - name: clone-repo
    taskRef:
      name: git-clone
    params:
      - name: url
        value: https://tfs.**.com/[org]/[project]/_git/[repo]
      - name: revision
        value: main  # 替换为你的目标分支/版本
    workspaces:
      - name: output
        workspace: shared-workspace  # 提前定义的共享工作区
    serviceAccountName: pipeline

3. 若需自定义脚本克隆，正确传递认证信息 #

如果一定要自己写脚本，不要在URL中硬编码PAT，而是通过环境变量传递，并关闭Git的交互询问：

steps:
  - name: clone-repo
    image: alpine/git
    env:
      - name: GIT_USERNAME
        valueFrom:
          secretKeyRef:
            name: git-pat-secret
            key: username
      - name: GIT_PASSWORD
        valueFrom:
          secretKeyRef:
            name: git-pat-secret
            key: password
    script: |
      git -c core.askpass=false clone https://$(GIT_USERNAME):$(GIT_PASSWORD)@tfs.**.com/[org]/[project]/_git/[repo]

-c core.askpass=false参数强制Git不弹出密码询问，适配容器的非交互环境。

4. 排查Secret挂载有效性 #

如果问题仍存在，可添加一个调试步骤确认Secret是否正确加载：

steps:
  - name: check-secrets
    image: alpine
    env:
      - name: GIT_USERNAME
        valueFrom:
          secretKeyRef:
            name: git-pat-secret
            key: username
      - name: GIT_PASSWORD
        valueFrom:
          secretKeyRef:
            name: git-pat-secret
            key: password
    script: |
      echo "Username: $GIT_USERNAME"
      echo "Password length: ${#GIT_PASSWORD}"

通过输出的密码长度，确认PAT是否完整传递到容器中。

内容的提问来源于stack exchange，提问作者Fawzinov