这篇讲用 HTTPS 地址克隆 AngusGit 私有仓库时用户名和密码分别填什么。看完你可以生成一把只读、只对当前仓库有效的访问令牌用它完成克隆并在本机或 CI 里保存这把令牌避免写进克隆地址。下文用 AngusGit 线上实例上的真实私有仓库https://git.anguskit.com/anguskit/AngusKit.git做示例。照着做时换成你自己的仓库地址。要用 SSH 密钥或者要第一次往空仓库推代码见文末参考里的第一次推送一文。1. 用户名和密码各填什么终端问的填什么说明Username for https://git.anguskit.com:你的 AngusGit 登录名不是团队名也不是仓库所有者。示例里的所有者是团队anguskit用户名仍填你自己的登录名Password for https://登录名git.anguskit.com:访问令牌登录密码也能用但令牌更安全原因见下推荐令牌而不用登录密码有三个原因登录密码能登录整个控制台。它一旦被存进凭据缓存或脚本又泄露出去别人能做的远不止克隆代码。令牌只用于 Git 克隆和推送不能用来登录控制台。令牌可以只给git:read只给某几个仓库。即使泄露别人也只能读这几个仓库。令牌有过期时间也能单独吊销。吊销一把令牌不影响你的登录密码和其他令牌。2. 生成一把只读令牌打开令牌页侧栏点我的切到访问令牌页签点生成新令牌。名称、期限和身份确认令牌名称写清用途例如「笔记本克隆 AngusKit」以后在列表里一眼能认出来。过期时间和下一步的权限生成之后都不能再改要一次选对。过期时间可选30天、60天、90天或365天。密码验证里输入你当前的登录密码确认是你本人在操作。只给需要的权限权限范围勾选git:read页面说明是「允许 clone / fetch」。仓库作用域选指定仓库在列表里勾选anguskit/AngusKit权限设为READ。以后这把令牌只能读这一个仓库。马上保存点生成令牌。页面提示「请立即复制此令牌。出于安全考虑它将不会再次显示。」点复制存进你的密码管理器再点我已保存此令牌。之后列表里只显示令牌名称看不到原文丢了就只能重新生成。以后还要用这把令牌推送时权限范围要勾git:write仓库权限设为WRITE。只设WRITE而不勾git:write页面会提示「仓库授予 WRITE 时必须同时勾选 git:write」。3. 克隆gitclone https://git.anguskit.com/anguskit/AngusKit.git终端先打印Cloning into AngusKit...然后依次出现两个提示Username for https://git.anguskit.com: Password for https://登录名git.anguskit.com:第一个填登录名第二个粘贴刚才保存的令牌。粘贴时屏幕上不显示任何字符这是正常的粘贴完直接回车。接着出现Receiving objects的进度就说明认证已经通过、正在下载。命令结束后当前目录下多出一个AngusKit文件夹克隆就完成了。4. 让 Git 记住令牌不想每次拉取都粘贴一遍令牌就交给系统的凭据管理器保存macOSGit 默认使用钥匙串第一次输入之后自动保存。WindowsGit for Windows 自带凭据管理器第一次输入之后自动保存。Linux下面这一行让 Git 把凭据在内存里保留一段时间默认 15 分钟不写入磁盘gitconfig--globalcredential.helper cache也可以用credential.helper store长期保存但它会把令牌以明文写进~/.git-credentials只适合你一个人用的电脑。5. 在脚本和 CI 里克隆CI 机器上没有人来输入密码。这时常见的写法是把令牌拼进地址例如https://登录名:令牌git.anguskit.com/...。不要这样做这个地址会被写进克隆出来的.git/config还容易出现在构建日志里。改用请求头传令牌。先把令牌放进 CI 的密钥变量例如ANGUSGIT_TOKEN然后git-chttp.extraHeaderAuthorization: Bearer${ANGUSGIT_TOKEN}\clone https://git.anguskit.com/anguskit/AngusKit.git-c只对这一条命令生效令牌不会写进.git/config。之后在这个目录里再执行git fetch或git pull时同样要带上这段-c。给 CI 用的令牌单独生成一把名称写明是哪条流水线权限范围只给git:read仓库作用域只选它要拉的仓库。这样流水线出问题时吊销这一把就行不影响其他人。6. 令牌过期了或者要换一把访问令牌列表里每把令牌都显示状态活跃、已过期或已吊销、最后使用时间、使用次数和过期于的日期。令牌过期或被吊销后用它克隆或拉取会认证失败。按下面三步换一把按第 2 节重新生成一把令牌。清掉 Git 缓存的旧令牌否则 Git 会一直拿旧的去试printfprotocolhttps\nhostgit.anguskit.com\n\n|gitcredential reject再执行一次git pull在提示里填登录名和新令牌。怀疑令牌泄露时在列表里点那一把的吊销它会立即失效。吊销全部会让你所有未过期的令牌同时失效用到这些令牌的脚本和 CI 也会一起停止工作点之前先想清楚有哪些地方在用。7. 克隆失败时你看到的原因怎么处理fatal: Authentication failed for https://git.anguskit.com/anguskit/AngusKit.git/令牌已过期或已吊销令牌复制时少了字符用户名填的不是令牌主人的登录名令牌的指定仓库里没有这个仓库或者 Git 缓存的还是旧令牌到访问令牌列表看这把令牌的状态和仓库作用域。用户名填你自己的登录名。缓存过旧令牌时按第 6 节执行git credential reject后重试fatal: could not read Username for https://git.anguskit.com: terminal prompts disabled在没有终端交互的环境里CI、脚本克隆Git 想问用户名却问不了按第 5 节用http.extraHeader传令牌fatal: repository https://git.anguskit.com/anguskit/AngusKit.git/ not found地址里的所有者或仓库名写错了打开仓库代码页点绿色的代码按钮从Clone面板重新复制地址克隆正常推送被拒绝令牌的权限范围只有git:read或者仓库权限只有READ推送需要git:write加WRITE。令牌的编辑只能改名称和描述不能改权限所以要另外生成一把用于推送常见问题改了登录密码令牌要跟着换吗不用。令牌和登录密码互相独立。改密码之后令牌在有效期内照样能用。访问令牌能用来调用控制台的接口吗不能。访问令牌只用于 Git 的 HTTPS 克隆、拉取和推送。控制台和它的接口仍然通过登录会话访问。同一台电脑要用两个账号克隆不同的仓库怎么办让凭据按完整路径区分。执行git config --global credential.useHttpPath true之后Git 会按每个仓库的完整地址分别保存凭据两个账号的令牌不会互相覆盖。不想管令牌有别的办法吗可以改用 SSH。在我的 → SSH密钥登记一次公钥之后用 SSH 地址克隆和推送都不再需要密码或令牌。做法见文末参考里的第一次推送一文。小结HTTPS 克隆私有仓库时用户名填登录名密码填访问令牌。只读的场景生成一把只勾git:read、只选目标仓库的令牌生成后马上存好。日常使用交给系统凭据管理器记住CI 里用http.extraHeader传令牌不拼进地址。令牌过期就重新生成一把再用git credential reject清掉旧缓存怀疑泄露就单独吊销那一把。结论HTTPS 克隆私有仓库时用户名填 AngusGit 登录名密码填我的 → 访问令牌生成的git:read令牌CI 中使用http.extraHeader传参避免把令牌写进克隆 URL。参考文章AngusGit 手册组织与权限SSH 密钥、访问令牌AngusGit 手册仓库克隆地址自建 Git 之后怎么推代码配 SSH 或 HTTPS完成第一次 push
