如何仅在需要认证时将Git协议从HTTPS切换为SSH？

我之前也碰到过和你一样的麻烦——不想全局强制用SSH（毕竟拉取公开仓库还要插YubiKey输PIN太折腾），但需要认证的时候又能自动用上YubiKey的SSH凭证。这里分享几个亲测好用的方案：

方案一：Git条件包含配置（推荐） #

这个方法能让Git自动识别仓库是否需要认证，按需切换HTTPS和SSH，完全不用手动干预。

1. 先保持全局Git配置默认，不要设置全局的url "git@github.com:" insteadOf = https://github.com/。
2. 创建一个专门用于认证场景的配置文件，比如~/.gitconfig-ssh，内容如下：

[url "git@github.com:"]
    insteadOf = https://github.com/

3. 编辑主配置文件~/.gitconfig，添加条件包含规则，让Git只有在处理你自己的私有仓库/组织仓库时才加载上面的SSH配置：

# 匹配你个人账号下的所有仓库
[includeIf "hasconfig:remote.*.url:https://github.com/你的GitHub用户名/*"]
    path = ~/.gitconfig-ssh

# 如果有需要认证的组织仓库，再加一条
[includeIf "hasconfig:remote.*.url:https://github.com/你的组织名/*"]
    path = ~/.gitconfig-ssh

这样设置后：

• 拉取/推送公开仓库时，Git默认用HTTPS，完全不用碰YubiKey；
• 操作你自己或组织的私有仓库时，会自动把HTTPS地址替换成SSH，触发YubiKey的PIN验证。

你也可以用命令行直接添加这些规则，不用手动编辑文件：

git config --global includeIf.hasconfig:remote.*.url:https://github.com/你的GitHub用户名/* path ~/.gitconfig-ssh

方案二：手动为特定仓库配置SSH Remote #

如果你的私有仓库数量不多，手动设置也很简单：

• 克隆公开仓库时直接用HTTPS地址：git clone https://github.com/xxx/public-repo.git；
• 克隆自己的私有仓库时用SSH地址：git clone git@github.com:你的用户名/your-private-repo.git；
• 要是已经用HTTPS克隆了私有仓库，之后可以修改remote地址切换到SSH：

git remote set-url origin git@github.com:你的用户名/your-private-repo.git

方案三：缓存SSH PIN码（可选） #

如果你偶尔需要频繁操作私有仓库，不想每次都输PIN，可以让ssh-agent缓存PIN码一段时间。在~/.ssh/config里添加：

Host github.com
    IdentityFile ~/.ssh/id_rsa_yubikey # 你的YubiKey SSH密钥路径
    AddKeysToAgent yes
    IdentityAgent ~/.ssh/agent.sock
    PasswordAuthentication no

然后启动ssh-agent并添加密钥：

eval $(ssh-agent -s)
ssh-add -t 3600 ~/.ssh/id_rsa_yubikey # 缓存1小时，时间可以自己调整

不过这个方法还是需要一直插着YubiKey，只是减少输PIN的次数，适合短期频繁操作的场景。

内容的提问来源于stack exchange，提问作者aiotter