Git for Windows的GCM Core为何无法保存Bitbucket应用密码？

为什么已保存的Bitbucket应用密码不被Git使用？ #

• Git Credential Manager Core（GCM Core）对Bitbucket的默认认证逻辑是优先触发浏览器OAuth2认证，即便Windows凭据管理器中已存储git:https://bitbucket.org的凭据，也会忽略基本认证凭据，重复弹出认证框。
• 存储的凭据可能和仓库远程URL不匹配：若仓库远程URL未包含用户名（格式为https://bitbucket.org/<workspace>/<repo>.git），GCM Core无法关联到存储的带用户名的凭据，导致无法自动匹配。可通过git remote -v检查远程URL，若缺少用户名，手动修改为https://<your-username>@bitbucket.org/<workspace>/<repo>.git。
• 可通过配置强制GCM Core使用基本认证：执行git config --global credential.bitbucket.org.provider generic，之后Git会优先调用已存储的用户名和应用密码，不再弹出浏览器认证框。

Bitbucket应用密码的意义 #

• 替代主账号密码：当账号开启两步验证时，主账号密码无法用于Git基本认证，必须使用应用密码完成认证，同时避免直接暴露主账号密码。
• 权限精细化管控：创建应用密码时可指定具体权限（如仅仓库读写、禁止修改账号设置等），即便密码泄露，也只会影响授权范围内的操作，降低安全风险。
• 适配无图形界面场景：在服务器等无浏览器环境中，无法使用OAuth2浏览器认证，应用密码是实现Git访问私有仓库的唯一基本认证方式。

核心配置与要点 #

• 调整GCM Core针对Bitbucket的认证行为：
  • 强制使用基本认证：git config --global credential.bitbucket.org.provider generic
  • 查看当前凭据管理器配置：git config --global credential.helper（正常应显示manager-core）
• 应用密码创建规则：在Bitbucket账号设置的「App passwords」页面创建，需选择对应权限，创建后仅能查看一次，需妥善保存。
• 平台差异说明：GitHub个人访问令牌能正常保存，是因为GCM Core对GitHub的基本认证逻辑默认兼容，而Bitbucket默认优先OAuth2认证，导致应用密码存储后无法自动调用。

内容的提问来源于stack exchange，提问作者Garret Wilson