本文摘自qaq卟言博客。Ubuntu 搭建 SASLSVN 服务前言前天直播写代码完事了后向我的svn仓库提交完代码后闲得无聊就看了一下仓库日志发现有很多非法错误请求于是直播的时候就把这个日志监控拦截也补充到我之前的监控中了也就是在 卟言更新日志 页面中的2026-01-04中提到的实现拦截SVN非法请求做完了这个功能后于是乎我就去研究了一下官方的文档说明选择服务器配置 - 《使用 Subversion 进行版本控制》发现以下的内容如果您试图为您的团队设置最简单的服务器使用普通的 svnserve 安装是最简单、最快的途径。但是请注意您的存储库数据将通过网络以明文形式传输。如果您的部署完全在您公司的局域网或 VPN 内这不成问题。如果存储库暴露于开放的互联网您可能需要确保存储库的内容不敏感例如它只包含开源代码或者您需要付出额外努力来配置 SASL 以加密网络通信。好家伙根本就没有加密数据内容好家伙合着我一直都在裸奔当然只是存储库数据用户密码是不会传输的参考svnserve自定义服务器 - 《使用 Subversion 进行版本控制》默认情况下svnserve 服务器只知道如何发送 CRAM-MD5[61] 身份验证质询。本质上服务器向客户端发送少量数据。客户端使用 MD5 哈希算法对数据和密码的组合创建指纹然后将指纹作为响应发送。服务器使用存储的密码执行相同的计算以验证结果是否相同。实际密码不会在网络上传输。然后我就按照官方的要求进行配置加密官方的文档中有两种方法实现第一种是通过代理比如通过apache或nginx等web服务器连接svn架构为svnapacheldap的集成第二种是通过svnsaslldap的集成第一种的话checkout地址都需要从svn://改成https://那我全部拉仓库的客户端都要换太麻烦了毕竟svn客户端在1.5版本后都支持sasl功能了所以这里直接用第二个方法就够了SASL安装SASLsudo apt install libsasl2-2 libsasl2-modules sasl2-bin配置sasl修改配置sudo nano /etc/default/saslauthd配置内容STARTyesMECHANISMSsaslsb配置介绍START: 是否在系统启动时自动启动yes启用no禁用MECHANISMS: 认证机制sasldb直接用自带的数据库文件/etc/sasldb2来存储和验证用户密码pam用系统的 PAMPluggable Authentication Modules进行认证比如系统的用户密码ldap使用 LDAP 目录服务验证用户shadow直接读取 /etc/shadow 文件验证系统用户需要 root 权限kerberos5使用 Kerberos 进行认证重启服务/etc/init.d/saslauthd restart创建用户添加sudo saslpasswd2 -c -u 卟言SVN版本库 buyan删除sudo saslpasswd2 -d -u 卟言SVN版本库 buyan测试testsaslauthd -u buyan -p 123456789 -r 卟言SVN版本库联动svn创建配置文件sudo touch /usr/lib/sasl2/svn.conf编辑配置文件sudo nano /usr/lib/sasl2/svn.conf配置内容pwcheck_method: saslauthdmech_list: CRAM-MD5 DIGEST-MD5 PLAIN配置说明pwcheck_method: 指定 SASL 验证密码的方式auxprop使用 辅助属性插件Auxiliary Property Plugin 获取来用户密码插件由 auxprop_plugin 指定比如说 sasldbsaslauthd直接使用 saslauthd 服务验证在默认配置中/etc/default/saslauthd修改。pwcheck使用 pwcheck 守护进程已过时。shadow直接读取系统 /etc/shadow 文件需 root 权限。auxprop_plugin: 指定 auxprop 方式使用的具体插件sasldb使用 SASL 自带的数据库文件通常是 /etc/sasldb2存储用户密码sql使用 SQL 数据库如 MySQL、PostgreSQL来获取密码ldapdb使用 LDAP 目录服务来获取密码mech_list: 指定 SASL 服务端支持的 认证机制列表PLAIN: 明文传输用户名和密码Base64 编码本质仍是明文CRAM-MD5: 基于挑战 - 响应Challenge-Response机制不传输明文密码DIGEST-MD5: 类似 CRAM-MD5但更复杂支持会话安全Session Security设置权限sudo chown buyan:buyan /etc/sasldb2sudo chmod 600 /etc/sasldb2不设置可能会出现这种问题SVN配置SVN安装步骤这里不再啰嗦了可以查看ubuntu svn版本库搭建修改配置sudo nano /media/buyan/1/版本库/conf/svnserve.conf内容[sasl]use-sasl truemin-encryption 0max-encryption 256注意# password-db passwd这行保持注释掉的状态不使用passwd文件min-encryption因为sasl已经加密了如果像网上配置125可能会报Could not obtain the list of SASL mechanisms或者乱码realm要跟sasl创建用户的仓库一致并且不能有空格参考svnserve自定义服务器 - 《使用 Subversion 进行版本控制》一些警告首先确保saslpasswd2的“realm”参数与您在存储库的svnserve.conf文件中定义的 realm 相匹配 如果它们不匹配身份验证将失败。此外由于 SASL 的缺陷公共 realm 必须是一个不包含空格的字符串。 最后如果您决定使用标准的 SASL 密码数据库 请确保svnserve程序对该文件具有读取权限如果使用 OTP 等机制可能还需要写入权限。重启killall svnserve以用户身份运行不要使用sudo或管理员这样子限制对用户文件的读访问权限svnserve –d –r /media/buyan/1/版本库测试额外其实如果是很多人开发比如公司内部可以配LDAP来配合SASLLDAP协议的好处就是你公司的所有员工在所有这些工具里共享同一套用户名和密码来人的时候新增一个用户就能自动访问所有系统走人的时候一键删除就取消了他对所有系统的访问权限不过我自己一个人的SVN就不搞这些花里胡哨的了因为就我一个用户参考选择服务器配置 - 《使用 Subversion 进行版本控制》svnserve自定义服务器 - 《使用 Subversion 进行版本控制》相关SVN无法编辑日志信息的解决方法ubuntu svn版本库搭建