URL中携带密码的HTTP认证失败，交互式输入却成功，原因何在？

问题情况 #

我在CI流水线中通过HTTP访问Git仓库，使用访问令牌作为密码（无法使用SSH）。将凭证直接嵌入URL时克隆失败：

$ git clone http://username:pass-_word123@git.host/my/repo.git

Cloning into 'repo'...
remote: HTTP Basic: Access denied
fatal: Authentication failed for 'http://git.host/my/repo.git/'

但通过交互式输入凭证时可成功克隆：

$ git clone http://git.host/my/repo.git
Cloning into 'repo'...
Username for 'https://git.host:443': username
Password for 'https://username@git.host:443': pass-_word123

Cloning into 'repo'...
remote: Enumerating objects: 72, done.
remote: Counting objects: 100% (72/72), done.
remote: Compressing objects: 100% (53/53), done.
remote: Total 72 (delta 21), reused 60 (delta 17), pack-reused 0
Receiving objects: 100% (72/72), 7.90 KiB | 7.90 MiB/s, done.
Resolving deltas: 100% (21/21), done.

我的密码仅包含拉丁字符、数字以及符号-和_，排除特殊字符导致的问题。

原因分析 #

从交互式克隆的输出能明显看到，实际连接的是HTTPS协议（提示信息显示https://git.host:443），但嵌入凭证时用的是HTTP协议。大概率你的Git服务器强制要求HTTPS访问，HTTP请求会被重定向到HTTPS，但原URL里的凭证不会自动跟随重定向传递，导致最终的HTTPS请求没有携带有效凭证，触发验证失败。

解决方法 #

1. 改用HTTPS协议嵌入凭证 #

直接把URL里的http替换为https，命令修改为：

git clone https://username:pass-_word123@git.host/my/repo.git

这样请求从一开始就走HTTPS通道，凭证能被服务器正确接收并验证。

2. 避免直接在URL中嵌入凭证（更安全的CI实践） #

CI环境中直接把凭证写在命令里有泄露风险，建议用Git凭证配置或环境变量实现：

• 先克隆仓库（不带凭证）：

git clone https://git.host/my/repo.git

• 用git config配置凭证存储：

git config --global credential.helper store
echo "https://username:pass-_word123@git.host" >> ~/.git-credentials

也可以在CI环境中设置GIT_USERNAME和GIT_PASSWORD环境变量，配合Git凭证助手自动填充凭证。

3. 检查CI环境的Shell解析问题 #

如果切换HTTPS后仍然失败，可能是CI的Shell对URL字符解析异常，可以用双引号包裹整个URL避免解析错误：

git clone "https://username:pass-_word123@git.host/my/repo.git"

内容的提问来源于stack exchange，提问作者AntonioK