基于SSH的本地Git仓库多用户权限配置与商业实现疑问

一、用Linux内置工具实现（不新增系统用户） #

可以实现，核心是利用SSH的**强制命令（forced command）**结合Git的git-shell和自定义脚本，底层逻辑如下：

1. 依然共用一个git系统用户，将所有用户的SSH公钥添加到~git/.ssh/authorized_keys，但每个公钥前添加command参数，限制用户只能执行经过权限校验的Git命令。
2. 通过自定义脚本解析用户的原始Git命令，校验用户与仓库的权限映射，决定是否允许执行操作。

具体实现步骤： #

• 编写权限校验脚本（比如~git/git-auth.sh）：

#!/bin/bash
# 配置用户-仓库权限映射，key是用户名，value是允许访问的仓库列表
declare -A USER_PERMISSIONS=(
    ["alice"]="project-a.git project-b.git"
    ["bob"]="project-a.git"
)

# 从SSH连接上下文获取当前用户（可通过公钥注释、自定义参数传递，这里示例直接指定，实际可动态提取）
CURRENT_USER="alice"

# 解析用户提交的原始Git命令
if [[ "$SSH_ORIGINAL_COMMAND" =~ ^(git-receive-pack|git-upload-pack) '([^']+)'$ ]]; then
    TARGET_REPO=$(basename "${BASH_REMATCH[2]}")
    # 检查当前用户是否有权限访问该仓库
    if [[ " ${USER_PERMISSIONS[$CURRENT_USER]} " =~ " $TARGET_REPO " ]]; then
        # 权限通过，执行原始命令
        exec "$SSH_ORIGINAL_COMMAND"
    else
        echo "权限拒绝：你无法访问仓库 $TARGET_REPO" >&2
        exit 1
    fi
else
    echo "无效命令：仅允许执行Git相关操作" >&2
    exit 1
fi

• 给脚本添加执行权限：chmod +x ~git/git-auth.sh
• 修改~git/.ssh/authorized_keys，给每个用户的公钥添加强制命令限制：

command="~/git-auth.sh",no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ... alice@example.com

（注：no-*参数是为了进一步限制用户的SSH操作，防止端口转发、shell登录等风险）

底层机制： #

• SSH的authorized_keys中command选项会强制用户登录后只能执行指定脚本，用户输入的原始命令会被存到SSH_ORIGINAL_COMMAND环境变量中。
• git-shell是Git内置的受限shell，仅允许执行Git相关命令，避免用户执行系统级操作。
• 自定义脚本通过解析原始命令，匹配预定义的权限规则，实现细粒度的仓库访问控制，无需创建多个系统用户。

二、商业Git服务器的实现方式 #

商业Git服务器（如GitHub、GitLab）并非完全自研SSH服务器，核心是基于OpenSSH做扩展开发，结合自身的权限管理系统实现细粒度控制：

1. 身份校验：用户通过SSH连接时，服务器通过公钥匹配数据库中存储的用户身份，而非依赖系统用户。
2. 权限校验：当用户发起Git操作（push/pull）时，服务器会先查询内部数据库，校验该用户对目标仓库的操作权限（如只读、读写、管理员等）。
3. 命令转发：权限校验通过后，服务器会调用Git命令执行操作，全程通过自身服务层管控，而非直接使用系统用户的权限。
4. 额外扩展：除了SSH协议，商业服务器还会支持HTTP/HTTPS协议，提供更灵活的权限配置（如分支保护、角色权限等），但SSH部分核心仍基于OpenSSH，而非从零开发SSH服务器。

内容的提问来源于stack exchange，提问作者Luke Beukelman