如何配置使远程分支build.sh需Git强制推送才可修改？

核心思路 #

利用Bitbucket的**预接收钩子（Pre-receive Hook）**实现全局拦截：只有当推送是*强制推送（带--force参数）*且修改了build.sh时才允许通过，普通推送只要包含build.sh的修改就直接拒绝，从服务器端约束，无需依赖开发者自觉。

具体操作步骤 #

• 编写预接收钩子脚本：
  找仓库管理员，在Bitbucket服务器的仓库钩子目录（通常路径为$BITBUCKET_HOME/repositories/<仓库slug>/hooks）下创建pre-receive脚本，内容如下：

  #!/bin/bash
  
  # 遍历每一条推送的引用
  while read oldrev newrev refname; do
      # 仅检查分支推送，忽略标签等其他引用
      if [[ $refname == refs/heads/* ]]; then
          # 获取本次推送修改的所有文件
          changed_files=$(git diff --name-only $oldrev $newrev)
          # 检查是否修改了build.sh
          if echo "$changed_files" | grep -q "^build.sh$"; then
              # 判断是否为强制推送：newrev不在oldrev的提交历史中即为强制推送
              if ! git merge-base --is-ancestor $oldrev $newrev; then
                  # 强制推送，允许通过
                  continue
              else
                  # 普通推送修改build.sh，拒绝推送
                  echo "ERROR: 修改build.sh后必须使用强制推送（git push --force）才能提交到远程分支"
                  exit 1
              fi
          fi
      fi
  done
  
  exit 0
  

• 配置脚本权限：
  在服务器上执行以下命令，给脚本添加可执行权限：

  chmod +x pre-receive
  

• 测试验证：
  • 本地修改build.sh后用普通git push尝试推送，会收到错误提示，推送失败
  • 使用git push --force推送修改后的build.sh，推送成功
  • 修改其他文件用普通推送，可正常通过

补充说明 #

• 该方案为全局生效的服务器端配置，所有开发者的推送都会被校验，无需每个开发者调整本地Git设置
• 若需给特定分支（如正式发布分支）放行，可在脚本中添加分支判断逻辑，例如排除refs/heads/release分支
• 预接收钩子仅仓库管理员有权限配置，确保方案的强制性，无法被普通开发者绕过

内容的提问来源于stack exchange，提问作者DekiGembes