最简单的选项是运行 svnserve 作为独立的 “守护进程” 进程。为此，请使用 -d 选项。

$ svnserve -d
$               # svnserve is now running, listening on port 3690

在守护进程模式下运行 svnserve 时，您可以使用 --listen-port 和 --listen-host 选项来自定义要 “绑定” 的确切端口和主机名。

如前所述，成功启动 svnserve 后，它会使系统上的每个存储库都可供网络访问。客户端需要在存储库 URL 中指定一个 绝对 路径。例如，如果存储库位于 /var/svn/project1，则客户端可以通过 svn://host.example.com/var/svn/project1 访问它。为了提高安全性，您可以将 -r 选项传递给 svnserve，这会限制它只导出该路径下的存储库。例如

$ svnserve -d -r /var/svn
…

使用 -r 选项实际上修改了程序视为远程文件系统空间根目录的位置。然后，客户端使用从这些 URL 中删除了该路径部分的 URL，从而使 URL 更短（并且更不显眼）。

$ svn checkout svn://host.example.com/project1
…

如果您希望 inetd 启动进程，您需要传递 -i (--inetd) 选项。在以下示例中，我们展示了在命令行运行 svnserve -i 的输出，但请注意，这不是您实际启动守护进程的方式；有关如何配置 inetd 以启动 svnserve，请参阅示例后的段落。

$ svnserve -i
( success ( 2 2 ( ) ( edit-pipeline svndiff1 absent-entries commit-revprops d\
epth log-revprops atomic-revprops partial-replay ) ) )

当使用 --inetd 选项调用时，svnserve 尝试通过 stdin 和 stdout 使用自定义协议与 Subversion 客户端通信。这是通过 inetd 运行程序的标准行为。IANA 为 Subversion 协议保留了端口 3690，因此在类 Unix 系统上，您可以向 /etc/services 添加以下行（如果它们不存在）

svn           3690/tcp   # Subversion
svn           3690/udp   # Subversion

如果您的系统使用的是经典的类 Unix inetd 守护进程，您可以将此行添加到 /etc/inetd.conf

svn stream tcp nowait svnowner /usr/bin/svnserve svnserve -i

确保 “svnowner” 是一个具有访问您的存储库的适当权限的用户。现在，当客户端连接到您的服务器的端口 3690 时，inetd 将生成一个 svnserve 进程来为其提供服务。当然，您可能还想在配置行中添加 -r，以限制导出哪些存储库。

另一种调用 svnserve 的方法是使用 -t 选项以隧道模式运行。此模式假设远程服务程序（如 rsh 或 ssh）已成功验证用户身份，并且现在正在调用私有的 svnserve 进程 作为该用户。（请注意，您（用户）很少（如果有的话）需要在命令行中使用 -t 调用 svnserve；相反，SSH 守护进程会为您执行此操作。）svnserve 程序的行为正常（通过 stdin 和 stdout 进行通信），并假设流量正在通过某种隧道自动重定向回客户端。当 svnserve 被像这样的隧道代理调用时，请确保已验证的用户对存储库数据库文件具有完全的读写权限。这与本地用户通过 file:// URL 访问存储库本质上相同。

此选项将在本章后面 名为“通过 SSH 建立隧道” 的部分中详细介绍。

如果您的 Windows 系统是 Windows NT 的后代（Windows 2000 或更高版本），您可以将 svnserve 作为标准的 Windows 服务运行。这通常比使用 --daemon (-d) 选项将其作为独立守护进程运行要好得多。使用守护进程模式需要启动一个控制台，键入一个命令，然后让控制台窗口无限期地运行。但是，Windows 服务在后台运行，可以在启动时自动启动，并且可以使用与其他 Windows 服务相同的管理界面启动和停止。

您需要使用命令行工具 SC.EXE 定义新服务。与 inetd 配置行非常类似，您必须指定 svnserve 的确切调用，以便 Windows 在启动时运行。

C:\> sc create svn
        binpath= "C:\svn\bin\svnserve.exe --service -r C:\repos"
        displayname= "Subversion Server"
        depend= Tcpip
        start= auto

这定义了一个名为 svn 的新 Windows 服务，该服务在启动时执行特定的 svnserve.exe 命令（在本例中，根目录位于 C:\repos）。但是，前面的示例中有一些注意事项。

首先，请注意，svnserve.exe 程序必须始终使用 --service 选项调用。然后，必须在同一行上指定 svnserve 的任何其他选项，但您不能添加冲突的选项，例如 --daemon (-d)、--tunnel 或 --inetd (-i)。但是，-r 或 --listen-port 等选项是可以的。其次，在调用 SC.EXE 命令时要注意空格：key= value 模式在 key= 之间不能有空格，并且在 value 之前必须有且只有一个空格。最后，要注意要调用的命令行中的空格。如果目录名包含空格（或其他需要转义的字符），请将 binpath 的整个内部值放在双引号中，并对其进行转义。

C:\> sc create svn
        binpath= "\"C:\program files\svn\bin\svnserve.exe\" --service -r C:\repos"
        displayname= "Subversion Server"
        depend= Tcpip
        start= auto

还要注意，binpath 这个词具有误导性——它的值是一个 命令行，而不是可执行文件的路径。这就是为什么如果它包含嵌入的空格，您需要用引号将其括起来。

定义服务后，可以使用标准的 GUI 工具（服务管理控制面板）或在命令行中停止、启动或查询它。

C:\> net stop svn
C:\> net start svn

还可以通过删除其定义来卸载（即取消定义）服务：sc delete svn。请务必先停止服务！SC.EXE 程序还有许多其他子命令和选项；运行 sc /? 以了解更多信息。

Mac OS X（10.4 及更高版本）使用 launchd 来管理进程（包括守护进程），包括系统范围和每个用户范围。一个 launchd 作业由 XML 属性列表文件中的参数指定，launchctl 命令用于管理这些作业的生命周期。

当配置为以 launchd 作业运行时，svnserve 会在需要处理传入的 Subversion svn:// 网络流量时按需自动启动。这比需要您手动调用 svnserve 作为长时间运行的后台进程的配置方便得多。

要将 svnserve 配置为 launchd 作业，首先创建一个名为 /Library/LaunchDaemons/org.apache.subversion.svnserve.plist 的作业定义文件。示例 6.1, “一个 svnserve launchd 作业定义示例” 提供了此类文件的示例。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
    "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
        <key>Label</key>
        <string>org.apache.subversion.svnserve</string>
        <key>ServiceDescription</key>
        <string>Host Subversion repositories using svn:// scheme</string>
        <key>ProgramArguments</key>
        <array>
            <string>/usr/bin/svnserve</string>
            <string>--inetd</string>
            <string>--root=/var/svn</string>
        </array>
        <key>UserName</key>
        <string>svn</string>
        <key>GroupName</key>
        <string>svn</string>
        <key>inetdCompatibility</key>
        <dict>
            <key>Wait</key>
            <false/>
        </dict>
        <key>Sockets</key>
        <dict>
            <key>Listeners</key>
            <array>
                <dict>
                    <key>SockServiceName</key>
                    <string>svn</string>
                    <key>Bonjour</key>
                    <true/>
                </dict>
            </array>
        </dict>
    </dict>
</plist>

	警告
	launchd 系统可能有点难学。幸运的是，本节中描述的命令有相关文档。例如，在命令行中运行 man launchd 以查看 launchd 本身的联机帮助页，man launchd.plist 以阅读有关作业定义格式的信息，等等。

创建作业定义文件后，可以使用 launchctl load 激活作业。

$ sudo launchctl load \
       -w /Library/LaunchDaemons/org.apache.subversion.svnserve.plist

明确地说，此操作不会立即启动 svnserve。它只是告诉 launchd 如何在传入的网络流量到达 svn 网络端口时启动 svnserve；在处理完流量后，它将被终止。

	注意
	因为我们希望 svnserve 是一个系统范围的守护进程，所以我们需要使用 sudo 以管理员身份管理此作业。还要注意，定义文件中的 UserName 和 GroupName 键是可选的——如果省略，作业将以加载作业的用户身份运行。

停用作业同样简单——使用 launchctl unload

$ sudo launchctl unload \
       -w /Library/LaunchDaemons/org.apache.subversion.svnserve.plist

launchctl 还提供了一种查询作业状态的方法。如果作业已加载，则将有一行与作业定义文件中指定的 Label 匹配。

$ sudo launchctl list | grep org.apache.subversion.svnserve
-       0       org.apache.subversion.svnserve
$

目前，svnserve.conf 文件的 [general] 部分包含了您需要的所有变量。首先更改这些变量的值：选择一个用于存储用户名和密码的文件名，并选择一个身份验证领域。

[general]
password-db = userfile
realm = example realm

realm 是您定义的一个名称。它告诉客户端他们连接到哪种 “身份验证命名空间”；Subversion 客户端会在身份验证提示中显示它，并将其用作一个键（以及服务器的主机名和端口）来缓存磁盘上的凭据（参见 名为“缓存凭据”的部分）。password-db 变量指向一个单独的文件，该文件包含用户名和密码列表，使用相同的熟悉格式。例如

[users]
harry = foopassword
sally = barpassword

password-db 的值可以是用户文件的绝对路径或相对路径。对于许多管理员来说，将文件保存在存储库的 conf/ 区域中，与 svnserve.conf 并排，很容易。另一方面，您可能希望两个或多个存储库共享同一个用户文件；在这种情况下，该文件可能应该放在一个更公开的地方。共享用户文件的存储库也应该配置为具有相同的领域，因为用户列表本质上定义了一个身份验证领域。无论文件位于何处，请确保适当地设置文件的读写权限。如果您知道 svnserve 将以哪个用户身份运行，请根据需要限制对用户文件的读取访问权限。

在 svnserve.conf 文件中还有两个变量需要设置：它们决定未经身份验证（匿名）用户和已验证用户被允许执行的操作。变量 anon-access 和 auth-access 可以设置为 none、read 或 write。将值设置为 none 禁止读取和写入；read 允许对存储库进行只读访问，而 write 允许对存储库进行完全读写访问。例如

[general]
password-db = userfile
realm = example realm

# anonymous users can only read the repository
anon-access = read

# authenticated users can both read and write
auth-access = write

示例设置实际上是变量的默认值，如果您忘记定义它们。如果您想更加保守，可以完全阻止匿名访问

[general]
password-db = userfile
realm = example realm

# anonymous users aren't allowed
anon-access = none

# authenticated users can both read and write
auth-access = write

服务器进程不仅理解这些对存储库的 “全局” 访问控制，还理解对存储库中特定文件和目录的更细粒度的访问限制。要使用此功能，您需要定义一个包含更详细规则的文件，然后将 authz-db 变量设置为指向它

[general]
password-db = userfile
realm = example realm

# Specific access rules for specific locations
authz-db = authzfile

我们将在本章后面，在“基于路径的授权”部分详细讨论 authzfile 文件的语法。请注意，authz-db 变量与 anon-access 和 auth-access 变量并不互斥；如果所有变量都同时定义，则必须满足所有规则才能允许访问。

要在服务器上激活特定的 SASL 机制，您需要执行两件事。首先，在您的存储库的 svnserve.conf 文件中创建一个 [sasl] 部分，其中包含一个初始键值对

[sasl]
use-sasl = true

其次，创建一个名为 svn.conf 的主 SASL 配置文件，放在 SASL 库可以找到的位置——通常在 SASL 插件所在的目录中。您需要在您的特定系统上找到插件目录，例如 /usr/lib/sasl2/ 或 /etc/sasl2/。（请注意，这不是存储库中存在的 svnserve.conf 文件！）

在 Windows 服务器上，您还需要编辑系统注册表（使用 regedit 等工具）以告诉 SASL 在哪里找到内容。创建一个名为 [HKEY_LOCAL_MACHINE\SOFTWARE\Carnegie Mellon\Project Cyrus\SASL Library] 的注册表项，并在其中放置两个键：一个名为 SearchPath 的键（其值为包含 SASL sasl*.dll 插件库的目录的路径），以及一个名为 ConfFile 的键（其值为包含您创建的 svn.conf 文件的父目录的路径）。

由于 SASL 提供了如此多种身份验证机制，尝试描述每种可能的服务器端配置将是愚蠢的（并且远远超出了本书的范围）。相反，我们建议您阅读 SASL 源代码的 doc/ 子目录中提供的文档。它详细介绍了每种机制以及如何为每种机制适当地配置服务器。为了讨论的目的，我们将只演示配置 DIGEST-MD5 机制的简单示例。例如，如果您的 svn.conf 文件包含以下内容

pwcheck_method: auxprop
auxprop_plugin: sasldb
sasldb_path: /etc/my_sasldb
mech_list: DIGEST-MD5

您已告诉 SASL 向客户端宣传 DIGEST-MD5 机制，并检查位于 /etc/my_sasldb 的私有密码数据库中的用户密码。然后，系统管理员可以使用 saslpasswd2 程序在数据库中添加或修改用户名和密码

$ saslpasswd2 -c -f /etc/my_sasldb -u realm username

一些警告：首先，确保 saslpasswd2 的 “realm” 参数与您在仓库的 svnserve.conf 文件中定义的 realm 相同；如果它们不匹配，身份验证将失败。此外，由于 SASL 的缺陷，公共 realm 必须是一个不包含空格的字符串。最后，如果您决定使用标准 SASL 密码数据库，请确保 svnserve 程序对该文件具有读访问权限（如果使用 OTP 等机制，可能还需要写访问权限）。

这只是配置 SASL 的一种简单方法。还有许多其他身份验证机制可用，密码可以存储在其他地方，例如 LDAP 或 SQL 数据库中。有关详细信息，请参阅完整的 SASL 文档。

请记住，如果您将服务器配置为仅允许某些 SASL 身份验证机制，则所有连接的客户端也必须支持 SASL。任何没有 SASL 支持的 Subversion 客户端（包括所有 1.5 之前的客户端）都无法进行身份验证。一方面，这种限制可能正是您想要的（“我的客户端必须全部使用 Kerberos！””）。但是，如果您仍然希望非 SASL 客户端能够进行身份验证，请确保将 CRAM-MD5 机制作为选项进行宣传。所有客户端都可以使用 CRAM-MD5，无论它们是否具有 SASL 功能。

如果特定机制支持，SASL 也可以执行数据加密。内置的 CRAM-MD5 机制不支持加密，但 DIGEST-MD5 支持，而 SRP 等机制实际上需要使用 OpenSSL 库。要启用或禁用不同级别的加密，您可以在仓库的 svnserve.conf 文件中设置两个值

[sasl]
use-sasl = true
min-encryption = 128
max-encryption = 256

min-encryption 和 max-encryption 变量控制服务器要求的加密级别。要完全禁用加密，请将这两个值都设置为 0。要启用简单的数据校验和（即，防止篡改并保证数据完整性，但不进行加密），请将这两个值都设置为 1。如果您希望允许（但不强制）加密，请将最小值设置为 0，并将最大值设置为某个位长度。要无条件地要求加密，请将这两个值都设置为大于 1 的数字。在我们之前的示例中，我们要求客户端至少进行 128 位加密，但最多不超过 256 位加密。

首先，找到您将用来启动 svnserve 的帐户的主目录。确保该帐户已安装 SSH 公钥/私钥对，并且用户可以通过公钥认证登录。密码认证将不起作用，因为以下所有 SSH 技巧都围绕使用 SSH authorized_keys 文件。

如果不存在，请创建 authorized_keys 文件（在 Unix 上，通常为 ~/.ssh/authorized_keys）。此文件中的每一行都描述一个允许连接的公钥。这些行通常采用以下形式：

  ssh-dsa AAAABtce9euch… [email protected]

第一个字段描述密钥类型，第二个字段是密钥本身的 Base64 编码，第三个字段是注释。但是，鲜为人知的是，整行可以以 command 字段开头

  command="program" ssh-dsa AAAABtce9euch… [email protected]

当设置了 command 字段时，SSH 守护进程将运行指定的程序，而不是 Subversion 客户端请求的典型隧道模式 svnserve 调用。这为许多服务器端技巧打开了大门。在以下示例中，我们将文件中的行缩写为

  command="program" TYPE KEY COMMENT

因为我们可以指定执行的服务器端命令，所以很容易命名要运行的特定 svnserve 二进制文件，并向其传递额外的参数

  command="/path/to/svnserve -t -r /virtual/root" TYPE KEY COMMENT

在此示例中，/path/to/svnserve 可能是一个围绕 svnserve 的自定义包装脚本，它设置 umask（参见 名为“支持多种存储库访问方法”的部分）。它还展示了如何在虚拟根目录中锚定 svnserve，就像人们在将 svnserve 作为守护进程运行时经常做的那样。这可能是为了限制对系统某些部分的访问，或者仅仅是为了让用户不必在 svn+ssh:// URL 中键入绝对路径。

也可以让多个用户共享同一个账户。 而不是为每个用户创建单独的系统账户， 为每个人生成一对公钥/私钥。 然后将每个公钥放入 authorized_keys 文件中， 每行一个， 并使用 --tunnel-user 选项。

  command="svnserve -t --tunnel-user=harry" TYPE1 KEY1 [email protected]
  command="svnserve -t --tunnel-user=sally" TYPE2 KEY2 [email protected]

此示例允许 Harry 和 Sally 通过公钥认证连接到同一个账户。 他们每个人都有一个自定义命令会被执行； --tunnel-user 选项告诉 svnserve 假设命名参数是经过身份验证的用户。 如果没有 --tunnel-user， 则所有提交看起来都像是来自同一个共享系统账户。

最后要提醒一点： 通过公钥在共享账户中授予用户对服务器的访问权限， 即使你已经设置了 authorized_keys 中的 command 值， 也可能仍然允许其他形式的 SSH 访问。 例如， 用户可能仍然可以通过 SSH 获取 shell 访问权限， 或者能够通过你的服务器执行 X11 或通用端口转发。 为了尽可能减少用户的权限， 你可能需要在 command 后面立即指定一些限制性选项。

  command="svnserve -t --tunnel-user=harry",no-port-forwarding,no-agent-forw
arding,no-X11-forwarding,no-pty TYPE1 KEY1 [email protected]

请注意， 所有这些都必须在一行上——真正的一行上——因为 SSH authorized_keys 文件甚至不允许使用传统的反斜杠字符 (\) 来进行行延续。 我们之所以用换行符来显示它， 只是为了让它适应书本的物理页面。