VDI架构下Git预提交钩子自动化部署及文件保护问题咨询

一、自动完成pre-commit hooks安装（无需开发者手动执行pre-commit install） #

方案1：仓库内置钩子+自动配置脚本 #

1. 在仓库根目录创建.githooks目录，里面新建pre-commit钩子文件（赋予可执行权限chmod +x .githooks/pre-commit），内容如下：

   #!/bin/bash
   # 确保pre-commit已安装，若未安装则自动安装（根据你的包管理工具调整，比如pip/conda）
   if ! command -v pre-commit &> /dev/null; then
       pip install pre-commit
   fi
   # 执行pre-commit检查
   exec pre-commit run --all-files --hook-stage commit
   

2. 在仓库根目录创建init-repo.sh脚本（同样赋予可执行权限），内容：

   #!/bin/bash
   # 将Git钩子路径指向仓库内置的.githooks目录
   git config --local core.hooksPath .githooks
   

3. 在VDI环境中配置自动触发：
   • 给开发者的VDI桌面设置启动脚本，当克隆仓库后自动进入仓库目录并执行./init-repo.sh；
   • 或者给Git设置别名，比如git clone-with-init='!git clone "$@" && cd $(basename "$1" .git) && ./init-repo.sh'，让开发者用这个别名克隆仓库。

方案2：VDI全局Git模板配置（适用于所有仓库统一配置） #

1. 在VDI服务器上创建全局Git钩子模板目录，比如/etc/git-template/hooks；
2. 将上述pre-commit钩子文件放到该目录，并确保可执行；
3. 给所有开发者的Git全局配置添加：

   git config --global init.templateDir /etc/git-template
   

4. 这样开发者克隆仓库后，.git/hooks目录会自动包含pre-commit钩子，无需手动安装。

二、限制开发者修改特定文件（如.pre-commit-config.yaml） #

方案1：GitLab内置受保护文件规则 #

1. 进入GitLab仓库的「设置」→「仓库」；
2. 找到「受保护文件」区域，点击「添加受保护文件」；
3. 输入要保护的文件名（如.pre-commit-config.yaml），然后设置「允许修改」的角色为维护者/所有者，普通开发者将无法提交对该文件的修改。

方案2：GitLab服务器端自定义钩子（更灵活的权限控制） #

1. 登录GitLab服务器，找到目标仓库的存储目录（通常路径为/var/opt/gitlab/git-data/repositories/<你的组>/<仓库名>.git）；
2. 创建custom_hooks目录（若不存在），然后在其中新建pre-receive文件：

   #!/bin/bash
   # 定义受保护文件列表
   PROTECTED_FILES=( ".pre-commit-config.yaml" )
   # 定义允许修改的用户邮箱列表
   ALLOWED_USERS=( "dev-lead@yourcompany.com" "admin@yourcompany.com" )
   
   while read oldrev newrev refname; do
       # 获取当前提交的作者邮箱
       AUTHOR=$(git log -1 --pretty=format:"%ae" "$newrev")
       # 检查提交中是否修改了受保护文件
       for file in $(git diff --name-only "$oldrev" "$newrev"); do
           for protected in "${PROTECTED_FILES[@]}"; do
               if [[ "$file" == "$protected" ]]; then
                   # 检查作者是否在允许列表中
                   if ! [[ " ${ALLOWED_USERS[@]} " =~ " $AUTHOR " ]]; then
                       echo "ERROR: 无权限修改受保护文件 $file" >&2
                       exit 1
                   fi
               fi
           done
       done
   done
   exit 0
   

3. 给pre-receive文件添加可执行权限：chmod +x custom_hooks/pre-receive；
4. 后续普通开发者提交修改受保护文件的代码时，GitLab服务器会直接拒绝该提交。

内容的提问来源于stack exchange，提问作者user26661143