Git代理配置明文传递凭证相关安全风险问题咨询
2026-9-29
Git代理凭证相关问题解答
问题1：Git向代理发送凭证时使用的是HTTP还是HTTPS协议？
- 协议类型由你配置的代理地址本身的前缀（scheme）决定，和目标Git仓库的地址类型无关。
- 你当前配置的代理地址前缀为
http://，不管是配置http.proxy还是https.proxy，Git和代理服务器之间通信都会走HTTP协议。 - 你提到的
https.proxy配置的作用只是声明「访问HTTPS类型的Git仓库时使用该代理」，不会改变和代理通信的协议类型。
问题2：凭证是否会以明文形式在网络中传输？
是，存在泄露风险：
HTTP协议下，代理凭证会被编码为Base64格式放在Proxy-Authorization请求头中传输，Base64只是编码格式而非加密，可直接解码得到明文的账号密码。
如何调整配置提升传输安全性？
你可以根据实际场景选择以下方案：
- 优先改用HTTPS代理：如果你的代理服务器支持HTTPS接入，将代理地址前缀改为
https://，这样Git和代理之间的通信会经过TLS加密，凭证不会明文传输，示例配置：
git config --global http.proxy https://proxyuser:proxypwd@proxy.server.com:代理HTTPS端口
- 避免把凭证写在配置文件中：使用Git自带的凭证助手存储凭证，既可以避免.gitconfig文件明文泄露凭证，也不会改变传输逻辑，不同系统推荐的凭证助手如下：
- Windows：
git config --global credential.helper wincred - macOS：
git config --global credential.helper osxkeychain - Linux：
git config --global credential.helper libsecret
- Windows：
- 代理仅支持HTTP的场景：可使用本地代理转发工具（如cntlm），把代理凭证存在本地工具中，Git仅配置无凭证的本地代理地址，避免凭证在网络中传输。
额外疑问解答：配置https.proxy为HTTP地址时，是否会用HTTPS传输凭证？
不会。该配置仅指定访问HTTPS仓库时使用的代理地址，只要代理地址前缀为http://，Git和代理的通信依然走HTTP协议，凭证还是明文传输。
内容的提问来源于stack exchange，提问作者user1567453
相关产品推荐
相关产品推荐
