Question

我们通过在〜/ .gitconfig

中添加以下行来访问带有客户端证书的Git服务器

[http]
        sslCAInfo = /path/to/git-ca.crt
        sslCert = /path/to/git-client.crt
        sslKey = /path/to/git-client.pem

这适用于Linux，Windows和OS X＆lt; = 10.8，文件完全相同。当我在OS X 10.10上试用它时，我收到以下错误：

bash-3.2$ git fetch
fatal: unable to access 'https://ourserver:12345/repository.git/': SSL: Can't load the certificate "/path/to/git-client.crt" and its private key: OSStatus -25299

问题出现在git version 1.9.3 (Apple Git-50)以及git version 2.0.1。

更新从KeyChain中删除相应的项目后，我遇到了以下崩溃：

bash-3.2$ git fetch
2014-11-17 09:58:51.257 git-remote-https[2787:12194] *** Terminating app due to uncaught exception 'NSInvalidArgumentException', reason: '*** -[__NSPlaceholderArray initWithObjects:count:]: attempt to insert nil object from objects[0]'
*** First throw call stack:
(
    0   CoreFoundation                      0x00007fff9828164c __exceptionPreprocess + 172
    1   libobjc.A.dylib                     0x00007fff8f91c6de objc_exception_throw + 43
    2   CoreFoundation                      0x00007fff98125068 -[__NSPlaceholderArray initWithObjects:count:] + 360
    3   CoreFoundation                      0x00007fff98124a2d CFArrayCreate + 141
    4   libcurl.4.dylib                     0x00007fff8f75169e darwinssl_connect_common + 2089
    5   libcurl.4.dylib                     0x00007fff8f75073a Curl_ssl_connect_nonblocking + 36
    6   libcurl.4.dylib                     0x00007fff8f719673 Curl_http_connect + 77
    7   libcurl.4.dylib                     0x00007fff8f727977 Curl_protocol_connect + 129
    8   libcurl.4.dylib                     0x00007fff8f739cef multi_runsingle + 799
    9   libcurl.4.dylib                     0x00007fff8f73993d curl_multi_perform + 170
    10  git-remote-https                    0x0000000109815c8a step_active_slots + 25
    11  git-remote-https                    0x0000000109815cfb run_active_slot + 77
    12  git-remote-https                    0x0000000109817621 http_request + 459
    13  git-remote-https                    0x0000000109816148 http_request_reauth + 34
    14  git-remote-https                    0x0000000109813f76 discover_refs + 476
    15  git-remote-https                    0x00000001098131e4 main + 1556
    16  libdyld.dylib                       0x00007fff94bd25c9 start + 1
    17  ???                                 0x0000000000000003 0x0 + 3
)
libc++abi.dylib: terminating with uncaught exception of type NSException

此次崩溃后，证书条目已在Keychain中重新发生。奇怪的是，在OS X 10.8上，从存储库中取出时，我的钥匙串不会添加任何内容。

更新2 当我在OS X 10.9上尝试相同的操作时，我收到了以下错误：

bash-3.2$ git fetch
fatal: unable to access 'https://ourserver:12345/repository.git/': SSL certificate problem: Invalid certificate chain

更新3 即使在OS X 10.9上，我也可以使用这些证书成功连接openssl：

bash-3.2$ openssl s_client -connect ourserver:12345 -cert /path/to/git-client.crt -key /path/to/git-client.pem
CONNECTED(00000003)
depth=1 /C=de/O=companyca/CN=internal-ca
verify error:num=19:self signed certificate in certificate chain
verify return:0
---
Certificate chain
 0 s:/C=de/O=companyserv/CN=smart
   i:/C=de/O=companyca/CN=internal-ca
 1 s:/C=de/O=companyca/CN=internal-ca
   i:/C=de/O=companyca/CN=internal-ca
---
Server certificate
...
<----------------------snip---------------------->
...
---
SSL handshake has read 2348 bytes and written 1360 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES256-SHA
    Session-ID: E5873AF43D24CEE6529178B4EFD7FE3368711DF1BFBC6CA89C50F8D39DE0B014
    Session-ID-ctx: 
    Master-Key: <**********>
    Key-Arg   : None
    Start Time: 1416486728
    Timeout   : 300 (sec)
    Verify return code: 19 (self signed certificate in certificate chain)
---
closed

问题类似于this one for GitHub，但我们使用的是自签名证书。

Answer 1

看起来您遇到了与this docker issue中相同的问题，他们认为这可能是OSX卷曲中的一个错误。

在一些other post中他们建议，这可能是由于证书序列号为1或太大而不适合32位而引起的。

在您的OS X 10.9案例中，我认为＆＃34;无效证书＆＃34;应该通过将证书添加到受信任的系统密钥链来解决（在this question中讨论）。

This post描述了OS X curl的一些变化，这似乎是相关的。根据我的理解，可能是切换到不同的curl implementation的解决方案（但可能只有在使用brew安装git时才能工作）。

Answer 2

正如Michal已经提到的那样，它是一个OSX curl bug。一个可能的解决方案是安装一个不依赖于osx curl实现的git版本

安装macports：https://www.macports.org/install.php
$ port -v selfupdate
$ port install git

OS X：拒绝客户端证书的Git

2 个答案: