Git服务器单仓库多用户访问权限问题及报错排查

问题场景 #

我们有一台Git服务器，所有开发者通过ssh://git@gitserver/gitdir/repoX.git访问远程仓库。现在需要给一位访客开发者开放仅repo5仓库的访问权限。

我执行了以下操作：

• 在Git服务器上创建Linux用户guestdev，新增用户组repo5group，将git和guestdev加入该组
• 递归修改repo5仓库的组归属为repo5group，为所有文件夹递归设置组SUID位，将repo5所有内容的组权限设为rw
• 此时guestdev在文件系统层面拥有repo5的完整权限，新建内容也会继承权限

但使用ssh://guestdev@gitserver/gitdir/repo5.git克隆时出现报错：

fatal: detected dubious ownership in repository at '/gitdir/repo5.git'
To add an exception for this directory, call:

git config --global --add safe.directory /gitdir/repo5.git

fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

远程裸仓库配置如下：

[core]
        repositoryformatversion = 0
        filemode = true
        bare = true
        sharedRepository = group
[receive]
        denynonfastforwards = true

我可以按提示执行git config操作，但想了解问题根源，同时希望得到更简洁优雅的单仓库多用户授权方案。我们使用bash环境下的原生Git。

问题根源 #

这个报错来自Git的可疑所有权检测机制：

• Git默认要求仓库目录的所有者必须是当前登录用户，或属于当前用户的有效组
• 虽然你给guestdev配置了组权限，但repo5仓库的所有者仍是git用户，guestdev作为组用户访问时，Git会判定仓库所有权“可疑”，触发安全限制
• 提示中的safe.directory是客户端层面的临时解决办法，并非服务器端的根本修复方案

更简洁优雅的单仓库多用户授权方案 #

方案1：基于SSH authorized_keys的权限限制（推荐） #

无需创建新Linux用户，通过Git服务器上git用户的~/.ssh/authorized_keys文件，限制特定公钥仅能访问指定仓库：

1. 获取访客开发者的SSH公钥（例如guestdev.pub）
2. 在Git服务器上编辑/home/git/.ssh/authorized_keys，添加以下内容：

   command="git-shell -c 'if [ \"$SSH_ORIGINAL_COMMAND\" = \"git-upload-pack '\''/gitdir/repo5.git'\''\" ] || [ \"$SSH_ORIGINAL_COMMAND\" = \"git-receive-pack '\''/gitdir/repo5.git'\''\" ]; then $SSH_ORIGINAL_COMMAND; else echo \"Access denied: only repo5 is allowed\"; exit 1; fi'",no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ... guestdev@example.com
   

3. 访客开发者仍使用原git用户的SSH地址克隆：ssh://git@gitserver/gitdir/repo5.git，但仅能操作repo5仓库

方案2：修复服务器端Git权限配置 #

如果坚持使用独立用户guestdev，可在服务器端配置全局安全目录，避免客户端操作：

1. 在Git服务器执行以下命令，让Git全局信任该仓库目录：

   git config --system --add safe.directory /gitdir/repo5.git
   

2. 确保仓库权限配置正确，维持sharedRepository=group的同时，保证目录权限为g+rwxs：

   chown -R git:repo5group /gitdir/repo5.git
   chmod -R g+rwxs /gitdir/repo5.git
   

   这样Git会认可组权限，不再触发可疑所有权检测。

内容的提问来源于stack exchange，提问作者woelfchen42