如何安全检测不可信Git仓库的状态与补丁信息

问题背景 #

需要在不可信Git仓库中执行git log、git status、git diff来检测仓库修改和查看补丁，但担心这些命令会触发恶意自定义命令。

各命令的安全性分析 #

1. git diff #

你提到的--no-textconv和--no-ext-diff是确保git diff安全的核心参数，这两个参数足够阻止大部分恶意执行风险：

• --no-textconv：禁用文本转换器（textconv），这类转换器通常是用户配置的脚本，用于将二进制文件转换为可读文本展示，不可信仓库可能通过.git/config配置恶意textconv脚本触发执行。
• --no-ext-diff：禁用外部diff工具，避免调用仓库或全局配置中指定的外部diff程序，防止恶意工具被执行。

默认情况下，git diff如果不带这两个参数，会读取本地（仓库）和全局配置中的diff.textconv、diff.external配置，这在不可信仓库中是高危风险。加上这两个参数后，git diff会使用内部逻辑处理差异对比，不会执行任何外部命令，是安全的。

2. git status #

不带额外参数的git status默认是安全的，不会调用任何用户自定义命令：

• git status的核心逻辑是扫描仓库文件状态、对比索引与工作区/HEAD的差异，整个过程由Git内部完成，不会触发textconv、外部diff或钩子（Git没有pre-status这类钩子）。
• 即使不可信仓库篡改了.git/config，只要没有特殊的全局配置干扰，git status也不会执行外部程序。

3. git log（不带-p参数） #

不带-p的git log仅展示提交元数据（哈希、作者、提交信息等），不会生成差异补丁，因此默认也是安全的：

• 不带-p时，git log不需要处理文件内容的转换或对比，不会触发diff.textconv、diff.external这类可能调用外部命令的配置。
• 除非你主动开启了需要外部工具的功能（如提交签名验证log.showSignature），否则git log不会执行任何自定义命令。

额外安全建议 #

为了彻底规避不可信仓库的配置风险，执行命令前可以临时禁用全局和本地配置：

GIT_CONFIG_GLOBAL=/dev/null GIT_CONFIG_LOCAL=/dev/null git <command>

这样Git会忽略所有自定义配置，仅使用默认行为，进一步降低风险。

内容的提问来源于stack exchange，提问作者tbleher