Git裸仓库中敏感信息（密码、API密钥）过滤配置失效问题求助

这问题其实出在裸仓库的本质特性上——Git的clean/smudge过滤器是依赖工作目录（working tree）来运行的，而裸仓库（--bare）本身没有工作目录，自然没法触发过滤器的逻辑。

为什么普通仓库能用？ #

在普通仓库里，当你执行git add时，Git会读取工作区的文件，先应用clean过滤器处理内容，再把处理后的结果存入暂存区，最后提交到仓库。整个流程的核心是需要访问工作区的实际文件，而这正是裸仓库缺少的部分。

解决方案 #

根据你的使用场景，有两种靠谱的处理方式：

方式1：用普通本地仓库处理后推送到裸仓库（推荐）

这是最符合Git设计的常规流程：

• 保留你的裸仓库作为远程存储库（比如用来同步多台机器的dotfiles）
• 在本地创建一个非裸的仓库，配置好你的过滤器（就是你现在的.gitattributes和.git/config配置）
• 在本地仓库里编辑你的dotfiles，执行git add时，clean过滤器会自动替换掉密码内容
• 提交后推送到裸仓库，此时裸仓库里存储的已经是过滤后的安全内容

这种方式下，裸仓库不需要任何过滤器配置，所有过滤逻辑都在本地完成，既安全又符合Git的工作流。

方式2：为裸仓库关联临时工作树

如果你必须直接在裸仓库里操作，可以通过git worktree给裸仓库挂载一个临时工作目录，这样过滤器就能正常运行：

1. 进入你的裸仓库目录：

   cd ~/.dotfiles.git
   

2. 创建一个临时工作树（路径可以自己选，比如../dotfiles-temp）：

   git worktree add ../dotfiles-temp master
   

3. 进入临时工作树目录，此时这个目录会共享裸仓库的配置（包括你的remove-pass过滤器）：

   cd ../dotfiles-temp
   

4. 在这里编辑你的dotfiles，执行git add时，clean过滤器会生效，替换掉密码内容
5. 提交并推送到裸仓库的分支（因为是工作树，提交会直接同步到裸仓库）
6. 操作完成后，可以删除临时工作树：

   git worktree remove ../dotfiles-temp
   

额外提示 #

• 如果你用多台机器同步dotfiles，确保每台机器的本地仓库都配置了相同的过滤器，这样拉取内容时（如果需要smudge还原的话）也能正常工作（不过你现在只配置了clean，所以主要是提交时的处理）
• 不要在裸仓库里直接尝试添加或修改文件，因为没有工作区，Git无法处理过滤器逻辑，也容易导致仓库状态异常

内容的提问来源于stack exchange，提问作者zemmsoares