GitHub登录失败：用户名或密码正确却提示“Incorrect username or password”

Question

GitHub登录失败：用户名或密码正确却提示“Incorrect username or password”，常见于启用了**双重验证（2FA）后仍使用账户密码直接登录网页或Git客户端**的场景。自2021年8月起，GitHub已全面弃用密码认证方式（包括HTTPS Git操作），强制要求使用**Personal Access Token（PAT）或SSH密钥**替代密码。若用户在Git命令行执行 `git push` 或网页登录时输入正确账号密码，仍报错，极大概率是：① 在Git凭据管理器（如Windows Credential Manager、macOS Keychain）中残留旧密码缓存；② 使用了未启用`repo`/`write:packages`等必要权限的过期或受限PAT；③ 浏览器保存了失效的会话Cookie。排查建议：清除本地Git凭据缓存、生成带完整权限的新PAT并更新远程URL（`https://@github.com/user/repo.git`），或改用SSH方式。该问题非账号异常，而是认证机制升级导致的典型适配疏漏。

Answer 1

```html

一、现象层：表象错误与用户直觉冲突

“Incorrect username or password”错误弹窗频繁出现，而用户100%确认账号密码无误——这是典型的身份认证“幻觉失败”。该提示本质已非传统凭据校验失败，而是GitHub服务端主动拒绝密码类认证的策略性响应。自2021年8月13日起，GitHub正式永久停用所有基于账户密码的HTTPS Git操作及网页表单登录（包括Git CLI、VS Code集成终端、JetBrains IDE内置Git等），无论是否启用2FA，密码均被服务端静默拦截并统一返回此模糊错误码。

二、机制层：认证模型的根本性演进

• 旧范式（已废弃）：用户名 + 密码 → GitHub OAuth2兼容层 → 会话Token
• 新范式（强制实施）：
  • HTTPS场景：仅接受 https://<TOKEN>@github.com/user/repo.git 格式URL
  • SSH场景：依赖公钥基础设施（PKI），需 ssh-keygen -t ed25519 -C "[e-mail]" 及 ssh-add ~/.ssh/id_ed25519
  • 网页登录：仍支持密码+2FA组合，但仅限首次会话建立；后续API调用（如GitHub Actions Secrets读取、GraphQL查询）必须使用PAT或OAuth App Token

三、缓存层：本地凭据管理器的“幽灵残留”

操作系统级凭据存储是最大隐性故障源：

平台	管理器路径	清除命令/操作
Windows	Credential Manager → Windows Credentials → Generic Credentials	cmdkey /delete:git:https://github.com
macOS	Keychain Access → Login Keychain → github.com	git credential-osxkeychain erase < /dev/tty（输入host=github.com回车后Ctrl+D）
Linux (GNOME)	Secrets → Login	git config --global credential.helper store && echo "protocol=https\nhost=github.com" | git credential reject

四、令牌层：Personal Access Token的权限陷阱

PAT并非“一劳永逸”，其失效模式高度场景化：

• 权限缺失：执行git push需至少repo scope；发布GitHub Packages需write:packages；访问私有Gist需gist
• 过期策略：GitHub默认PAT无自动过期（可选1h~1y），但企业版强制启用90天有效期策略
• 范围污染：同一Token混用于CI/CD（如GitHub Actions）、本地开发、第三方工具（Sourcetree），任一环节泄露即全盘失效

五、协议层：HTTPS与SSH的决策树

graph TD A[认证失败] --> B{是否需跨平台/多设备同步？} B -->|是| C[HTTPS + PAT] B -->|否| D[SSH密钥对] C --> E[生成PAT时勾选repo, delete_repo, write:packages] C --> F[更新远程URL：
git remote set-url origin https://<TOKEN>@github.com/user/repo.git] D --> G[生成ed25519密钥
ssh-keygen -t ed25519 -C '[e-mail]'] D --> H[添加到ssh-agent
eval "$(ssh-agent -s)" && ssh-add ~/.ssh/id_ed25519] D --> I[添加公钥到GitHub Settings → SSH Keys]

六、浏览器层：Cookie与会话状态的协同失效

即使网页登录成功，以下场景仍触发错误：

• 使用github.com域名访问，但实际请求发往api.github.com（如GitHub CLI调用）
• 浏览器启用了严格第三方Cookie策略（Chrome 125+默认开启），导致GitHub OAuth重定向链断裂
• 企业网络部署了SSL解密代理，篡改了GitHub证书链，使浏览器拒绝建立可信连接

七、诊断层：五步精准定位法

1. 执行git ls-remote https://github.com/username/private-repo.git验证基础HTTPS连通性
2. 运行git config --global credential.helper确认凭据助手类型
3. 在GitHub Settings → Developer settings → Personal access tokens → Tokens (classic) 中检查Token状态
4. 使用curl -H "Authorization: token <YOUR_TOKEN>" https://api.github.com/user直连API验证Token有效性
5. 在浏览器开发者工具Network标签页中过滤api.github.com，观察401响应头中的WWW-Authenticate字段值

八、工程实践：CI/CD环境的零信任适配

GitHub Actions中必须规避硬编码Token：

# ❌ 危险写法（泄露风险极高）
- run: git push https://$[e-mail]/${{ github.repository }}.git

# ✅ 推荐写法（利用内置GITHUB_TOKEN且作用域最小化）
- uses: actions/checkout@v4
- name: Push changes
  run: |
    git config user.name 'github-actions'
    git config user.email '[e-mail]'
    git add .
    git commit -m "chore: auto-update"
    git push # 自动注入GITHUB_TOKEN至HTTPS URL

九、演进视野：GitHub SSO与Fine-grained PAT的未来路径

面向大型组织，GitHub已推出：

• Fine-grained PAT：支持按仓库、包、环境粒度授权，可设置IP白名单与到期时间（2023年全面GA）
• SCIM + SSO：通过Okta/Azure AD实现身份生命周期自动化同步，禁用账户时自动吊销所有Token
• OIDC工作流：允许CI/CD系统直接向云提供商（AWS/Azure/GCP）申请临时凭证，彻底消除PAT存储需求

十、终极防御：构建可审计的认证基线

建议在团队内推行以下强制规范：

• 所有开发者工作站执行git config --global credential.helper manager-core（Windows）或osxkeychain（macOS）
• 在.gitconfig中声明[credential "https://github.com"]块，绑定专用Token命名空间
• 将PAT生成流程封装为CLI工具（如gh auth login --scopes repo,workflow），禁止手动复制粘贴
• 每月自动扫描~/.git-credentials与~/.config/gh/hosts.yml文件，检测明文Token残留

```