DoS on wrong password

As discussed in upstream bug report saltstack/salt#38230 pygit2 tries to authenticate indefinite with wrong credentials instead of failing after two consecutive failures with same authentication token as specified by https://tools.ietf.org/html/rfc7235#section-3.1
Possible a libgit2 Bug if it's reproducable with other language bindings.

Testcase:

nginx dummy server configuration

This is just a stub configuration, no real repository needed

location ~ /git(/.*) {
        add_header "WWW-Authenticate" "Basic realm=\"Closed Areas\"" always;
        return 401;
    }

test client

#!/bin/python2.7

import pygit2

username = 'dummyUser'
password = 'dummyPassword'
credentials = pygit2.UserPass(username, password)
callbacks = pygit2.RemoteCallbacks(credentials)
pygit2.clone_repository("http://git.demo.local/git/test.git", "test.git", bare=True, callbacks=callbacks)

Commencez par le scénario de test Python utilisant pygit2.UserPass, pygit2.RemoteCallbacks et pygit2.clone_repository avec la configuration nginx fournie. Reproduisez les tentatives d’authentification répétées et comparez le comportement avec la section 3.1 de RFC 7235. Le travail est considéré comme terminé lorsque le clonage échoue après deux échecs consécutifs avec le même jeton d’authentification, tout en confirmant si le comportement est spécifique à pygit2 ou à libgit2.