如何在Azure Repository中全局锁定指定文件（覆盖所有新分支）

针对你要锁定特定文件、覆盖所有从master衍生的新分支且不强制构建流水线的需求，给你两个实用方案：

方案1：用分支策略+路径过滤实现PR阶段拦截（推荐，无需代码） #

这个方法靠Azure Repos自带功能就能搞定，不用写脚本，维护起来简单：

• 创建策略模板
  进入仓库的「分支」页面，点击「分支策略」→「创建策略模板」。添加「需要最少审批者」规则，把审批者设为一个专门用于锁定的账号（比如闲置的机器人账号），然后开启「路径过滤」，精准填写你要锁定的文件路径（比如/src/core/constants.js）。记得关闭「允许请求者批准自己的更改」，确保没人能绕开审批。

• 将模板应用到所有分支
  返回分支策略页面，点击「应用模板」，分支模式选择refs/heads/*（覆盖所有分支），如果不需要锁定master本身，可添加排除规则!refs/heads/master。这样不管从master创建什么新分支，都会自动继承该策略——只要有人修改锁定文件，PR就会因缺少有效审批无法合并。

• 处理已存在的分支
  若此前已经从master创建了分支，手动给这些分支应用上述策略模板即可。

方案2：用服务器端钩子彻底禁止提交（硬核锁定） #

如果要做到连本地提交推送都直接拦截（而非仅在PR阶段限制），可以用Azure Repos的服务器端钩子：

• 创建预接收钩子
  进入项目设置→「仓库」→选择目标仓库→「钩子」→「创建钩子」，类型选择「预接收」。编写脚本检查推送的提交中是否包含对锁定文件的修改，若有则直接拒绝推送。

  示例bash脚本：

  # 指定要锁定的文件路径
  LOCKED_FILE="/src/core/constants.js"
  
  while read old_rev new_rev ref_name; do
    # 获取本次推送中修改的文件列表
    changed_files=$(git diff --name-only $old_rev $new_rev)
    # 检查是否修改了锁定文件
    if echo "$changed_files" | grep -q "$LOCKED_FILE"; then
      echo "❌ 禁止修改文件：$LOCKED_FILE"
      exit 1
    fi
  done
  
  exit 0
  

  这个钩子会在每次推送前触发，只要有人修改了锁定文件，直接将推送操作驳回，覆盖所有分支。

方案选择建议 #

• 方案1适合需要保留特殊修改通道（比如极端情况可找审批人放行）的场景，操作门槛低；
• 方案2是彻底封死修改权限，适合绝对不能变动的核心配置文件，但需提前测试脚本，避免误拦截正常提交。

内容的提问来源于stack exchange，提问作者ram prasad