如何强制 Git (2.5+) HTTP 传输更喜欢 SPNEGO 而不是基本身份验证？

Summary:我正在使用 Git for Windows 2.5.1 通过 Kerbesized Git 服务器进行身份验证。当我使用表单中的 URL 时https://el2-gitlab.sa.c/kkm/GrammarTools.git，Git 甚至不尝试协商身份验证，并询问用户名和密码。强制 Git 使用 SPNEGO 的解决方法是在 URL 本身中提供空的用户名和密码 https://github.com/git-for-windows/git/wiki/FAQ#how-do-i-access-a-repository-hosted-on-a-microsoft-team-foundation-server-inside-a-windows-domain, as in https://:@el2-gitlab.sa.c/kkm/GrammarTools.git。在这种情况下，Git 很乐意使用现有的 Kerberos 票证进行身份验证。

我可以配置 Git 以在不调整远程 URL 的情况下尝试 SPNEGO 吗？

更多细节。我花了很长时间试图解决这个问题。首先我尝试过在 .gitconfig 中给出一个空用户名 http://git-scm.com/docs/gitcredentials，但无济于事：

[credential "https://el2-gitlab.sa.c"]
   username = ''

我一次也没有遇到过关于reverse问题，当 Git 在尝试协商失败后拒绝恢复到 Basic 时，但行为是确认在 2.3.1 中发生了变化 https://stackoverflow.com/a/28522956/1149924.

使用空用户名和密码响应提示并没有帮助，这与我在 SO 上找到的一些建议相反（但它们可能早于版本 2.3.1）。

最后，详细的 libcurl 输出（此处省略）表明 Git 确实尝试了基本身份验证并完全放弃了协商：

$ export GIT_CURL_VERBOSE=1
$ git clone https://el2-gitlab.sa.c/kkm/GrammarTools.git kerbtest
Cloning into 'kerbtest'...
* Couldn't find host el2-gitlab.sa.c in the _netrc file; using defaults
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
> GET /kkm/GrammarTools.git/info/refs?service=git-upload-pack HTTP/1.1
Host: el2-gitlab.sa.c
User-Agent: git/2.5.1.windows.1

< HTTP/1.1 401 Unauthorized
< Status: 401 Unauthorized
< Www-Authenticate: Basic realm=""
< Www-Authenticate: Negotiate
<
* Connection #0 to host el2-gitlab.sa.c left intact
Username for 'https://el2-gitlab.sa.c':

另外可能有趣的是，Git 客户端在使用票证进行响应之前，会第二次重试 401 上未经身份验证的请求：

$ git clone https://:@el2-gitlab.sa.c/kkm/GrammarTools.git kerbtest
Cloning into 'kerbtest'...
* Couldn't find host el2-gitlab.sa.c in the _netrc file; using defaults
> GET /kkm/GrammarTools.git/info/refs?service=git-upload-pack HTTP/1.1
Host: el2-gitlab.sa.c
User-Agent: git/2.5.1.windows.1

< HTTP/1.1 401 Unauthorized
< Status: 401 Unauthorized
< Www-Authenticate: Basic realm=""
< Www-Authenticate: Negotiate
* Connection #0 to host el2-gitlab.sa.c left intact
* Issue another request to this URL: 'https://:@el2-gitlab.sa.c/kkm/GrammarTools.git/info/refs?service=git-upload-pack'
* Couldn't find host el2-gitlab.sa.c in the _netrc file; using defaults
> GET /kkm/GrammarTools.git/info/refs?service=git-upload-pack HTTP/1.1
Host: el2-gitlab.sa.c
User-Agent: git/2.5.1.windows.1

< HTTP/1.1 401 Unauthorized
< Status: 401 Unauthorized
< Www-Authenticate: Basic realm=""
< Www-Authenticate: Negotiate
<
* Issue another request to this URL: 'https://:@el2-gitlab.sa.c/kkm/GrammarTools.git/info/refs?service=git-upload-pack'
* Couldn't find host el2-gitlab.sa.c in the _netrc file; using defaults
> GET /kkm/GrammarTools.git/info/refs?service=git-upload-pack HTTP/1.1
Host: el2-gitlab.sa.c
Authorization: Negotiate YIIGtg[ .... trimmed ... ]
User-Agent: git/2.5.1.windows.1

< HTTP/1.1 200 OK

git 2.8（2016 年 3 月）应该可以缓解这个问题强制输入空用户名和密码http认证期间：

See commit 121061f https://github.com/git/git/commit/121061f67fd47aed5b2f3a7deb82af15215636bd (15 Feb 2016) by brian m. carlson (bk2204) https://github.com/bk2204.
^{(Merged by Junio C Hamano -- gitster -- https://github.com/gitster in commit 65ba75b https://github.com/git/git/commit/65ba75ba7daae3298139f18cf866a23d01f4dd48, 24 Feb 2016)}

http：添加选项以尝试无需用户名进行身份验证

使用 Kerberos 执行 GSS-Negotiate 身份验证不需要指定用户名或密码，因为该信息已经存在 包含在门票本身中。
然而，libcurl如果未提供用户名和密码，则拒绝执行身份验证。

添加一个选项，http.emptyAuth，这提供了libcurl使用空的用户名和密码以使其尝试进行身份验证。

The git config文档 https://github.com/git/git/blob/121061f67fd47aed5b2f3a7deb82af15215636bd/Documentation/config.txt#L1603-L1607会提到：

http.emptyAuth:

尝试进行身份验证而不需要用户名或密码。
这可用于尝试 GSS-Negotiate 身份验证，而无需在 URL 中指定用户名，如下所示libcurl通常需要用户名进行身份验证。

Git 2.10.2（2016 年 10 月）将改进这一点。

See commit 5275c30 https://github.com/git/git/commit/5275c3081c2b2c6166a2fc6b253a3acb20f8ae89 (04 Oct 2016) by David Turner (csusbdt) https://github.com/csusbdt.
^{(Merged by Junio C Hamano -- gitster -- https://github.com/gitster in commit c6400bf https://github.com/git/git/commit/c6400bf8d5437e7614c86e6b027761e11ed7a1be, 17 Oct 2016)}

http: http.emptyauth应该允许空（不仅仅是 NULL）用户名

当将 Kerberos 身份验证与较新版本的 libcurl 结合使用时，CURLOPT_USERPWD必须设置为一个值，即使它是空值。 该值永远不会发送到服务器。
以前版本的 libcurl 不需要设置此变量。
一些用户表达空用户名/密码的一种方法是http://:@gitserver.example.com, which http.emptyauth旨在支持。
另一个等效的 URL 是http://@gitserver.example.com.
后者导致用户名长度为零，而不是NULL用户名，但是CURLOPT_USERPWD仍然需要设置（如果http.emptyauth已设置）。
这样做。

当服务器仅支持单一身份验证方法时，Git 2.13（2017 年第二季度）将减少通过 HTTP 的身份验证往返。

See commit 40a18fc https://github.com/git/git/commit/40a18fc77ca3ba1b018f0fbdcbdf4a6d237aadf3 (25 Feb 2017), and commit 840398f https://github.com/git/git/commit/840398feb85bc0943119c669cda266a876859818 (22 Feb 2017) by Jeff King (peff) https://github.com/peff.
Helped-by: Johannes Schindelin (dscho) https://github.com/dscho.
^{(Merged by Junio C Hamano -- gitster -- https://github.com/gitster in commit 92718f5 https://github.com/git/git/commit/92718f57c2e18e69bc7ae3ed18c7157c475e17a9, 10 Mar 2017)}

http: 添加一个“auto“ 模式为http.emptyauth

这个变量（http.emptyauth）需要指定才能使某些类型的非基本身份验证起作用，但理想情况下这对于每个人来说都是开箱即用的。

然而，只需将其设置为“1" 默认情况下会引入额外的往返isn't有用。我们最终发送了服务器拒绝的伪造的空凭据。

“自动”模式应该使其开箱即用，而不会产生任何影响 对于访问仅限基本服务器的人来说，任何额外的往返行程。