Depende do #269. Esta branch está empilhada nele para o CI passar, então o diff mostra dois commits. Mergeando o #269 primeiro, este PR reduz sozinho ao commit fix(git):.

Validado antes de subir: PR de validação no fork com os 6 checks verdes, lint incluído.

O problema

Com qualquer auth SSH cadastrada para um host (boss login <host> -s), todo fetch de dependência daquele host falha — e o Boss reporta sucesso mesmo assim:

🔁 github_com_hashload_jsonbr    Updating...
⚠️ Fail to fetch repository github.com/hashload/jsonbr: invalid auth method
📦 github_com_hashload_jsonbr    Installed
✅ Installation completed successfully!

Exit 0. O projeto fica congelado na versão que já estava em cache, em silêncio. Em CI isso passa verde.

Causa

A credencial é buscada pelo prefixo do host, mas o transporte vem da URL que o repositório realmente busca. Os dois discordam sempre que um cache foi clonado por HTTPS antes de uma auth SSH existir para aquele host: dep.GetURL() passa a devolver a forma SSH assim que auth.UseSSH está setado, enquanto o remote em cache continua HTTPS.

O go-git v5.4.2 ignorava uma credencial SSH entregue ao transporte HTTP e buscava anonimamente. Desde o bump para v5.19.1 ele devolve transport.ErrInvalidAuthMethod. A construção de URL do Boss é idêntica entre v3.0.12 (models/dep.go:47-56) e hoje (internal/core/domain/dependency.go:65-84) — o que mudou foi a dependência.

A correção

Configuration.GetAuthForURL(repo, rawURL) resolve a credencial contra a URL efetiva e devolve nil quando ela não serve ao transporte, restaurando o fetch anônimo que o go-git fazia sozinho. Repositório privado alcançado pelo transporte errado continua falhando, exatamente como antes.

Os cinco call sites passaram a informar a URL real:

• clone → dep.GetURL()
• fetch/pull/submódulos → o remote do repositório em cache, via o helper remoteURL()

O erro de fetch em UpdateCacheEmbedded estava em msg.Debug — invisível em verbosidade normal. Virou msg.Warn dizendo que a cópia em cache está sendo usada.

Medição

Mesmo cache, mesma auth SSH, mesmo projeto (HashLoad/ormbr), sem boss-lock.json, com o cache faltando a tag mais nova do hashload/cqlbr. Só troca o binário:

O 1.1.6 é o dano concreto. Paridade com o v3.0.12 conferida no mesmo snapshot de cache — os quatro módulos resolvem idêntico:

cqlbr = 1.1.51   dbcbr = 1.1.7   dbebr = 1.1.7   jsonbr = 1.1.6

Testes

go test ./... verde nos 29 pacotes. Seis testes novos em pkg/env/auth_transport_test.go:

• credencial SSH em remote HTTPS → descartada
• credencial usuário/senha em remote SSH → descartada
• credencial que casa com o transporte → preservada
• host sem credencial → nil
• URL desconhecida → mantém o comportamento anterior, não descarta silenciosamente
• detecção de transporte: git@host:path, ssh://, https://, http:// e https://user@host/path, que não pode ser confundido com sintaxe scp

A chave ed25519 é gerada e cifrada em tempo de execução, então o teste não depende de chave no ambiente.

Independência

Verificado com git merge-tree:

• fix/auth-transport-mismatch → main : limpo
• fix/legacy-auth-and-version → main : limpo
• as duas branches entre si : sem conflito

Os dois fixes também foram mesclados localmente para o teste E2E, sem conflito. Podem ser mergeados em qualquer ordem.

Fora de escopo

Falha de fetch continua não alterando o exit code. Endurecer isso muda a política para quem trabalha offline ou atrás de rede instável, e não é o que este bug exige — com o fix, o invalid auth method deixa de acontecer. Se quisermos endurecer mesmo, vale discutir separado, porque afeta CI de terceiros.

🤖 Generated with Claude Code