svn - 如何使用 Subversion 信任过期的 SSL 证书？

Question

考虑以下场景。旧的 SVN 服务器，可通过 HTTPS 访问，已移至另一个域(没有新证书)并且其证书已过期。由于我对远程端没有影响，所以我遇到了这种情况。

同样，我也坚持使用 Scientific Linux 6.3 附带的 Subversion 客户端版本:

$ svn --version
svn, version 1.6.11 (r934486)
   compiled Feb 10 2015, 17:07:04

我知道 --non-interactive --trust-server-cert，但它没有帮助，尽管文档表明这些应该可用并在 Subversion 1.6 版本中工作。它给我的错误是:

svn: OPTIONS of 'https://svn.company.tld/svn/project/trunk': Server certificate verification failed: certificate has expired, certificate issued for a different hostname, bad certificate chain (https://svn.company.tld)

当我以交互方式运行它时，系统只会提示我暂时接受证书或拒绝它。因此，所有建议以交互方式运行一次然后以非交互方式运行的好方法对我来说都不好。事实上，这就是我在使用 Ubuntu 的较新的 Subversion 客户端上总是这样做的方式。我看到的是这个(已编辑):

Error validating server certificate for 'https://svn.company.tld:443':
 - The certificate hostname does not match.
 - The certificate has expired.
 - The certificate has an unknown error.
Certificate information:
 - Hostname: *.oldcompanyname.tld
 - Valid: from Tue, 02 Jun 2009 00:00:00 GMT until Wed, 06 Jul 2011 23:59:59 GMT
 - Issuer: www.digicert.com, DigiCert Inc, US
 - Fingerprint: fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd:fd
(R)eject or accept (t)emporarily?

暂时接受允许我缓存所有凭据，但它会再次提示暂时信任证书或拒绝它从远程服务器提取的每个修订。

所以这对我来说不是一个选择，因为我至少需要它是自动化的。

我还调整了 ~/.subversion/servers 以包含:

[global]
ssl-authority-files = /home/username/.subversion/cacert-svn.pem

PEM 文件包含来自以下 openssl 调用输出的编辑内容(仅实际证书 block ):

openssl s_client -showcerts -connect svn.company.tld:443 < /dev/null > cacert-svn.pem

我也尝试将这些证书拆分成单独的文件并将它们列在以分号分隔的列表中(文档不清楚单个 PEM 文件是否可以包含多个 Subversion 证书，我知道 Apache 这个作品)。这些都不起作用。

我还尝试将 ~/.subversion 文件夹从 svn，版本 1.8.8 (r1568071) 移植到 Scientific Linux。这也失败了。

我怎样才能说服这个给定的 Subversion 客户端永久接受这个特定的证书，尽管它已经过期并且是为不同的主机名颁发的？

---

我读过的东西没有帮助，因为它不适用于我的 Subversion 客户端或其他:

• > bypass ssl certificate validation in subversion
• > http://www.microhowto.info/howto/configure_subversion_to_trust_a_given_ssl_certificate.html
• > https://serverfault.com/q/37929
• > https://stackoverflow.com/a/9257625

Answer 1

您可以使用以下 svn 选项:

--trust-server-cert-failures=unknown-ca,cn-mismatch,expired,not-yet-valid,other

然后就完全不问了？例。