如何仅在当前环境覆盖SSH配置适配私有Git仓库认证？

是否可以在不修改任何当前用户或系统配置的前提下，仅针对当前环境以某种方式覆盖SSH配置？例如，为SSH-Agent指定选项，或设置环境变量使其从指定文件读取SSH配置等？

问题背景 #

为非自有仓库搭建CI流程时，构建工具（Flutter）会调用git clone拉取一个采用非标准认证流程的私有仓库。由于克隆操作是第三方工具在下载项目依赖的依赖时触发的，无法控制对应的Git URL。

常规Git认证的SSH配置如下：

Match Host xxx User git
    User git
    Port 12345
    IdentityFile yyy

通常用户名默认是git，端口22，密钥文件为~/.ssh/id_rsa。Git URL可指定不同用户名和端口，也可通过SSH-Agent注入公钥。

但该私有仓库需同时验证「用户名+SSH密钥」组合，而非仅验证SSH密钥，所需SSH配置为：

Match Host xxx User git
    User username
    Port 12345
    IdentityFile yyy

Git URL中端口时常不正确，且用户名始终默认使用git，导致认证失败。

已尝试方案 #

• 注入SSH-Agent提供含用户名的SSH密钥 → 无效
• 运行时修改依赖配置，为所有Git URL添加用户名 → 顶层依赖成功，但二级依赖失败
• 查阅ssh、ssh-agent及Flutter文档 → 无有效解决方案

URL重写尝试日志（已匿名） #

[build-multiplatform] [TRACE] Replacing 'ssh://private-repo.org:12345/top-level/dependency' with 'ssh://ci-user@private-repo.org:12345/top-level/dependency'...
[build-multiplatform] Rewriting file 'pubspec.yaml'...
[Pipeline] writeFile
[Pipeline] sh
00:00:15.023  + flutter clean
00:00:15.274  + flutter pub get
00:00:16.186  Resolving dependencies...
00:02:52.433  Git error. Command: `git clone --mirror ssh://private-repo.org/second-level/dependency /home/jenkins/.pub-cache/git/cache/flutter_app_components-323d1175f93598320dc758a60eaf879c64d41c0f`
00:02:52.433  stdout: 
00:02:52.433  stderr: Cloning into bare repository '/home/jenkins/.pub-cache/git/cache/flutter_app_components-323d1175f93598320dc758a60eaf879c64d41c0f'...
00:02:52.433  ssh: connect to host private-repo.org port 22: Connection timed out
00:02:52.433  fatal: Could not read from remote repository.
00:02:52.433  
00:02:52.433  Please make sure you have the correct access rights
00:02:52.433  and the repository exists.
00:02:52.433  exit code: 128

注：日志中二级依赖未指定端口（默认22）和用户名（默认git），导致连接超时。

无法执行的操作 #

• 修改全局（系统）或用户级SSH/Git配置（避免耦合CI基础设施）
• 修改服务器认证模式（无权限）
• 修改或覆盖依赖源码及其依赖列表（无权限）
• 修改第三方构建工具
• 手动调用git clone（需逆向构建工具逻辑）
• 添加本地Git配置（克隆操作在临时目录进行）
• 以管理员/超级用户身份执行命令（CI用户无权限）

可执行的操作 #

• 覆盖任意环境变量
• 修改或覆盖顶层源码
• 修改当前目录下的任意文件
• （可选）在Docker中执行构建（需额外配置）

解决方案 #

方法：利用GIT_SSH_COMMAND指定临时SSH配置 #

该方法完全符合要求：无需修改全局/用户配置，仅在当前CI环境生效，通过环境变量+临时配置文件实现SSH规则覆盖。

1. 在当前目录创建临时SSH配置文件
   创建./temp_ssh_config，内容如下（替换实际的主机名、用户名、端口、密钥路径）：

Host private-repo.org
    User your-required-username
    Port 12345
    IdentityFile ./path-to-your-private-key
    StrictHostKeyChecking no  # CI环境建议添加，避免首次连接的主机密钥确认步骤
    UserKnownHostsFile /dev/null  # 配合上一行，避免写入用户known_hosts

注意：密钥文件需设置正确权限，CI中执行chmod 600 ./path-to-your-private-key，防止SSH因权限过开放报错。

2. 设置环境变量覆盖Git的SSH调用
   在执行flutter pub get前，设置GIT_SSH_COMMAND环境变量，让Git使用指定的SSH配置：

export GIT_SSH_COMMAND="ssh -F ./temp_ssh_config"

3. 执行构建命令
   正常执行flutter clean && flutter pub get即可，所有Git触发的SSH连接都会自动使用临时配置，强制匹配目标主机的用户名、端口和密钥，无需修改任何依赖的Git URL。

原理说明 #

• GIT_SSH_COMMAND是Git提供的环境变量，用于覆盖默认的ssh调用命令
• ssh -F <config-file>参数会让SSH忽略全局/用户级配置，仅使用指定的临时配置文件
• 临时配置文件的Host规则会匹配所有指向private-repo.org的Git SSH URL，强制替换用户名、端口和密钥，完美解决二级依赖URL无法修改的问题

内容的提问来源于stack exchange，提问作者Peter Zaitcev