Как заставить HTTP-транспорт Git (2.5+) предпочесть SPNEGO базовой аутентификации?

git 2.8 (март 2016 г.) должен устранить эту проблему и принудительно указывать пустое имя пользователя и пароль во время HTTP-аутентификации:

См. commit 121061f (15 февраля 2016 г.) от Брайан М. carlson (bk2204).
^{(Объединено Junio ​​C Hamano -- gitster -- в commit 65ba75b, 24 февраля 2016 г.)}

http: добавить возможность попробовать аутентификацию без имени пользователя

Выполнение аутентификации GSS-Negotiate с использованием Kerberos не требует указания имени пользователя или пароля, поскольку эта информация уже включена в сам билет.
Однако libcurl отказывается выполнять аутентификацию, если ему не были предоставлены имя пользователя и пароль.

Добавьте параметр http.emptyAuth, который предоставляет libcurl пустое имя пользователя и пароль, чтобы он все равно пытался выполнить аутентификацию.

В git config документации будет указано:

http.emptyAuth:

Попытка аутентификации без поиска имени пользователя или пароля.
Это можно использовать для попытки аутентификации GSS-Negotiate без указания имени пользователя в URL-адресе, поскольку libcurl обычно требует имя пользователя для аутентификации.

Git 2.10.2 (октябрь 2016 г.) улучшит это.

См. commit 5275c30 (4 октября 2016 г.) от Дэвид Тернер (csusbdt).
^{(объединено Хунио C Хамано -- gitster -- в commit c6400bf, 17 октября 2016 г.)}

http: http.emptyauth должен разрешать пустые (не только NULL) имена пользователей

При использовании проверки подлинности Kerberos с более новыми версиями libcurl CURLOPT_USERPWD должно быть установлено значение, даже если это пустое значение. Это значение никогда не отправляется на сервер.
Предыдущие версии libcurl не требовали установки этой переменной.
Одним из способов, которым некоторые пользователи выражают пустое имя пользователя/пароль, является http://:@gitserver.example.com, для поддержки которого и был разработан http.emptyauth.< br> Еще один эквивалентный URL – http://@gitserver.example.com.
Последний ведет к имени пользователя нулевой длины, а не к имени пользователя NULL, но CURLOPT_USERPWD все равно необходимо установить (если установлено http.emptyauth) .
Сделайте это.

Git 2.13 (второй квартал 2017 г.) уменьшит двустороннюю аутентификацию по HTTP, если сервер поддерживает только один метод аутентификации.

См. коммит 40a18fc (25 февраля 2017 г.) и коммит 840398f (22 февраля 2017 г.), автор Джефф Кинг (peff).
Помощь: Йоханнес Шинделин (dscho).
^{(Объединено} Юнио С. Хамано -- gitster -- в commit 92718f5, 10 марта 2017 г.)

http: добавить режим "auto" для http.emptyauth

Эта переменная (http.emptyauth) должна быть указана, чтобы некоторые типы неосновной аутентификации работали, но в идеале она должна работать из коробки для всех.

Тем не менее, просто установив для него значение "1" по умолчанию, вы получите дополнительную обратную связь в тех случаях, когда это бесполезно. В итоге мы отправляем поддельные пустые учетные данные, которые сервер отклоняет.

«Автоматический» режим должен заставить его работать «из коробки», не требуя дополнительных циклов для людей, использующих серверы только для Basic.

Это не проблема Git, а проблема curl. Вы страдаете от известной ошибки № 10. Реализация curl намного ниже реализации libserf, используемой в Subversion.

Что касается выбора аутентификации: Git запрашивает ANY_AUTH с libcurl и должен выбрать самый надежный доступный механизм. Если это не так (с простым curl), вы нашли ошибку. Сообщите об этом curlна GitHub.

ВНИМАНИЕ: раньше это был выбранный ответ, но теперь он устарел с версии git v2.8. Перейдите к ответу VonC, который теперь отмечен зеленым флажком.

Все, что ниже этой строки, является историческим и устаревшим. Не делайте этого.

Поскольку большая часть относится к @Michael-O в обсуждении его ответа на этот вопрос, я считаю, что последний простой решение проблемы должно быть опубликовано в интересах сообщества SO.

Обходной путь к известной ошибке в libcurl, о которой упоминал Майкл, заключается в создании файла ~/.netrc (исходный libcurl) или ~/_netrc (порт Git для Windows 2.5+, основанный на MSys2). Файл должен содержать пустое имя пользователя и пароль для узла сервера Git с поддержкой Kerberos. Поскольку совпадение узлов является точным, включите как короткие, так и полные DNS-имена, а также возможные псевдонимы, если таковые имеются, например:

machine gitlab.acme.com username '' password ''
machine gitlab          username '' password ''

Если все верно, строка, которую вы видите в исходных журналах вопросов

* Couldn't find host el2-gitlab.sa.c in the _netrc file; using defaults

больше не следует печатать, и следует использовать аутентификацию согласования с использованием билета Kerberos пользователя.