能否创建Git助手/插件添加HTTP头或强制Bearer Token认证？

问题场景 #

• 基于Bitbucket Server（将升级至DataCenter）环境，已禁用用户密码，仅能通过个人访问令牌（PAT）完成Git操作，且无法使用SSH密钥认证
• 原用户名+PAT的HTTP Basic认证方案，在自动化构建和本地大型交互式构建中存在性能瓶颈
• Bitbucket支持无用户名的Bearer令牌认证，但Git原生支持有限：
  • 官方推荐的git clone -c http.extraHeader='Authorization: Bearer xxxx'会将PAT暴露在命令历史中，存在安全风险
  • --config-env方式虽安全，但无法写入.gitconfig，每次执行Git命令都需手动添加参数，也无法借助Git凭据助手存储PAT
  • GitLab的OAuth2、Bitbucket Cloud的x-token-auth等"魔术用户名"在Server环境不生效，会触发认证错误
  • 曾尝试自定义凭据助手和主机提供商，但Git内置凭据系统仅支持用户名+密码模式，无法直接适配Bearer认证

可行方案 #

方案1：自定义Git凭据助手（推荐长期使用） #

无需编译Git，可通过轻量自定义脚本实现自动生成Bearer认证头，同时复用Git内置凭据存储安全保存PAT。

步骤1：编写凭据助手脚本

创建可执行脚本git-credential-bearer（以bash为例），逻辑如下：

#!/bin/bash
while read line; do
    case "$line" in
        host=*) BITBUCKET_HOST="${line#host=}" ;;
        password=*) PAT="${line#password=}" ;;
    esac
done

# 仅处理目标Bitbucket服务器
if [[ "$BITBUCKET_HOST" == "你的Bitbucket服务器域名" ]]; then
    echo "username="
    echo "password=Bearer $PAT"
fi

给脚本添加执行权限：

chmod +x git-credential-bearer

将脚本放到PATH可访问的目录（如~/bin）。

步骤2：配置Git使用自定义助手

在全局或仓库级.gitconfig中添加以下配置：

[credential "https://你的Bitbucket服务器域名"]
    helper = bearer
    helper = store

• helper = store：使用Git内置凭据存储（如macOS钥匙串、Windows凭据管理器）保存PAT
• helper = bearer：调用自定义脚本，将存储的PAT转换为Bearer认证格式

步骤3：首次认证配置

第一次执行Git操作（如git clone https://你的Bitbucket服务器域名/项目仓库.git），Git会弹出认证提示：

• 用户名留空直接回车
• 密码输入你的Bitbucket PAT

后续所有Git操作都会自动读取存储的PAT并生成Bearer头，无需手动干预。

方案2：环境变量结合.gitconfig（适合快速部署/自动化场景） #

如果不想编写脚本，可通过环境变量安全传递PAT，同时配置.gitconfig避免重复输入参数：

1. 在终端配置文件（如.bashrc/.zshrc）中添加环境变量（不要直接在命令行输入，避免写入历史）：

export BITBUCKET_PAT="你的PAT内容"

2. 在全局.gitconfig中添加针对Bitbucket服务器的配置：

[http "https://你的Bitbucket服务器域名"]
    extraHeader = "Authorization: Bearer ${BITBUCKET_PAT}"

自动化环境中可通过CI/CD平台的秘密变量配置BITBUCKET_PAT，无需在代码中硬编码。

结论 #

无需局限于--config-env，自定义凭据助手是更优雅的长期方案，兼顾安全性和易用性；环境变量方案则适合快速落地或自动化场景，两种方案均无需自定义编译Git。

内容的提问来源于stack exchange，提问作者Nick Williams