如何让GitLab拒绝含原始二进制文件而非LFS指针文件的提交？

问题背景 #

我们在GitLab仓库中用Git LFS存储.png文件，但存在提交原始.png文件而非Git LFS指针文件的情况——比如贡献者没装Git LFS就推送，或者绕过git hooks提交。这类文件一旦进入主分支，会永久占用仓库历史空间，很难清理。

我们需要从源头预防（比如针对不熟悉Git LFS的新贡献者），想知道有没有办法让GitLab直接拒绝这类不符合要求的提交，或者有成熟的替代方案。之前考虑过自定义Git server hook或流水线任务，但前者配置繁琐，后者会漏掉中间提交，希望找到官方或成熟的针对性方案。

可行解决方案 #

1. GitLab官方LFS强制校验（推荐） #

GitLab自带LFS文件校验功能，开启后会自动拦截不符合规则的推送：

• 进入仓库的设置 → 仓库 → Git LFS
• 勾选强制LFS校验选项
• 确保仓库根目录的.gitattributes已正确配置跟踪规则：

  *.png filter=lfs diff=lfs merge=lfs -text
  

开启后，只要本该用LFS跟踪的.png以原始二进制形式提交，GitLab就会直接拒绝推送，并给出明确提示，完全不需要额外开发。

2. 预接收钩子（Pre-receive Hook） #

如果官方功能满足不了定制需求，可以用GitLab的预接收钩子实现更灵活的校验：

• 编写脚本，遍历推送的所有提交，检查.png文件是否是LFS指针（指针文件首行是version https://git-lfs.github.com/spec/v1）
• 将脚本放到对应仓库的hooks/pre-receive.d/目录下，赋予执行权限
• 核心逻辑示例：

  while read oldrev newrev refname; do
    git diff --name-only $oldrev $newrev | grep -E '\.png$' | while read file; do
      content=$(git show $newrev:$file | head -n1)
      if [[ ! $content == "version https://git-lfs.github.com/spec/v1" ]]; then
        echo "ERROR: 文件 $file 未使用Git LFS存储，请安装Git LFS后重新提交"
        exit 1
      fi
    done
  done
  

这个方案能拦截所有不符合规则的推送（包括中间提交），但需要服务器端配置权限，适合有运维能力的团队。

3. 本地钩子+仓库模板强制配置 #

从开发者本地层面提前预防错误提交：

• 配置仓库的pre-commit本地钩子，检查待提交的.png是否已被LFS处理
• 将包含钩子和.gitattributes的仓库设为团队模板仓库，所有新仓库自动继承配置
• 本地钩子示例：

  git diff --cached --name-only | grep -E '\.png$' | while read file; do
    if git lfs track | grep -q "^$file "; then
      content=$(cat $file | head -n1)
      if [[ ! $content == "version https://git-lfs.github.com/spec/v1" ]]; then
        echo "ERROR: 文件 $file 需通过Git LFS提交，请运行 git lfs track '$file' 后重新添加提交"
        exit 1
      fi
    fi
  done
  

配合团队规范要求使用模板仓库，能大幅降低错误提交的概率。

内容的提问来源于stack exchange，提问作者Jozef Mikušinec