我在Windows上使用Git。我安装了msysGit包。我的测试存储库在服务器上有一个自签名证书。我可以毫无问题地使用HTTP访问和使用存储库。移动到HTTPS会出现以下错误:

SSL证书问题:无法获得本地颁发者证书。

我在Windows 7客户端机器的受信任根证书颁发机构中安装了自签名证书。我可以在Internet Explorer中浏览到HTTPS存储库URL,而不会出现错误消息。

Philip Kelley的这篇博客文章解释了cURL不使用客户端机器的证书存储。我按照博客文章的建议创建了curl-ca-bundle的私有副本。然后配置Git使用它。我确定Git正在使用我的副本。如果我重命名副本;Git抱怨文件丢失。

我粘贴了我的证书,正如博客文章中提到的,我仍然得到“无法获得本地发行人证书”的消息。

我通过HTTPS克隆GitHub仓库来验证Git仍然在工作。

我看到的唯一不同于博客文章的地方是我的证书是根证书——没有链可以到达它。我的证书最初来自点击IIS8 IIS管理器链接“创建自签名证书”。也许这使得证书在某种程度上与cURL所期望的有所不同。

如何让Git/cURL接受自签名证书?


当前回答

为了避免完全禁用ssl验证或复制/破解git使用的捆绑的CA证书文件,您可以将主机的证书链导出到一个文件中,并让git使用它:

git config --global http.https://the.host.com/.sslCAInfo c:/users/me/the.host.com.cer

如果这不起作用,您可以只对主机禁用ssl验证:

git config --global http.https://the.host.com/.sslVerify false

注意:当ssl验证关闭时,可能受到中间人攻击。

其他回答

kiddailey我认为非常接近,但是我不会禁用ssl验证,而是只提供本地证书:

在Git配置文件中

[http]
    sslCAinfo = /bin/curl-ca-bundle.crt

或者通过命令行:

git config --global http.sslCAinfo /bin/curl-ca-bundle.crt

Git配置——global http。sslVerify假

修复SSL证书的特定错误问题:无法在git中获取本地颁发者证书

我在Let's Encrypt证书时也遇到了同样的问题。

一个网站与https我们只需要:

SSLEngine On
SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

但少不要脸的人说:

fatal: unable to access 'https://example.com/git/demo.git/': SSL certificate problem: unable to get local issuer certificate

要修复它,我们还需要添加:

SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem

有一件事让我很困惑,那就是路径的格式(在我的Windows电脑上)。我最初是这样写的:

git config --global http.sslCAInfo C:\certs\cacert.pem

但是失败了,出现了“无法获得本地发行者证书”错误。

最终起作用的是:

git config --global http.sslCAInfo "C:\\certs\\cacert.pem"

我也有这个问题。在我的例子中,我试图获得一个接收后Git钩子,以便在每次推送时更新服务器上的工作副本。试着按照你链接的博客里的说明去做。对我来说也不工作,而且在每个用户的基础上重写设置似乎也不工作。

我最终不得不为整个Git禁用SSL验证(正如文章所提到的)。这不是完美的解决方案,但在我找到更好的解决方案之前,它会有用的。

我编辑了Git配置文本文件(使用我最喜欢的行结束中性应用程序,如notepad++),位于:

C:\Program Files (x86)\Git\etc\gitconfig

在[http]块中,我添加了一个选项来禁用sslVerify。当我完成时,它看起来是这样的:

[http]
    sslVerify = false
    sslCAinfo = /bin/curl-ca-bundle.crt

这招奏效了。

注意:

这将禁用SSL验证,不建议作为长期解决方案。 您可以禁用每个存储库,这仍然不是很好,但本地化的设置。 随着LetsEncrypt.org的出现,现在可以相当简单、自动和免费地设置SSL作为自签名证书的替代方案,并且不需要关闭sslVerify。