将 git 与重写 SSL 证书的代理一起使用答案

【问题标题】：Using git with a proxy that rewrites SSL certificates将 git 与重写 SSL 证书的代理一起使用
【发布时间】：2010-08-16 11:03:45
【问题描述】：

在 $WORK，我们必须使用一个内省网络代理来重写 SSL 证书链。我可以通过使用 curl 获取 https URL 或运行（好吧，尝试运行 :-)）firefox 插件更新程序来验证这一点。

GIT 的 Windows 端口 http://code.google.com/p/msysgit/ 也抱怨证书损坏。有没有办法强制它忽略证书问题？

问候，哈坎

【问题讨论】：

【解决方案1】：

将 GIT_SSL_NO_VERIFY 环境变量设置为 true。

例如：

$ env GIT_SSL_NO_VERIFY=true git pull

【讨论】：

在带有 git 1.7.11.1 和 libcurl3-gnutls 7.22.0-3ubuntu4 的 Ubuntu Precise 上，这似乎不起作用。代理是一个 websense 系统。

【解决方案2】：

我怀疑它会重写证书链，我想它有自己的自己的证书，它返回而不是目标服务器的证书。如果您想使用这样的代理，您的客户端当然必须信任 it 以及/而不是目标服务器，这只是分发适当证书的问题，或者更好的是让它由一个 CA。您要做的最后一件事是忽略证书问题：否则您可能根本不使用 SSL。

【讨论】：

有趣的是忽略 SSL 可能是安全的，因为重写代理可能会处理 all SSL 流量并且不会让无效证书通过（如果它确实让无效证书通过并替换为自己的，我会发疯的，因为它不再可能防范 MITM 攻击）。