如何排查Git仓库中未提交的文件删除操作的根源？

Git层面排查命令 #

未提交的操作不会进入Git正式提交历史，需借助底层日志或对象检查工具：

• git fsck --lost-found：扫描Git对象库，将未被任何引用（分支、标签、HEAD等）关联的对象存入.git/lost-found目录。如果fileA是通过Git命令（如git rm）删除但未提交，可能在这里找到文件内容快照，辅助确认操作类型。
• git reflog：查看本地仓库的引用变更日志，记录了HEAD的所有移动记录（包括未提交的git reset、git checkout、git commit --amend等操作）。若删除由Git命令触发，这里可能找到对应操作记录。注意：每个用户的本地仓库reflog独立，需排查所有访问过该共享仓库的用户的本地reflog。
• git diff --cached fileA：如果删除操作被暂存过（执行过git rm fileA但未commit），该命令会显示暂存区与HEAD的差异，确认是否存在暂存的删除操作。
• git status：再次确认工作区状态，查看fileA是否被标记为deleted，区分是工作区文件直接被删除，还是暂存区有删除记录。

系统层面排查（关键，Git不记录非Git命令的文件删除） #

Git无法追踪直接通过系统命令（如rm）或外部工具删除的未提交文件，需结合Linux环境特性排查：

• 检查系统审计日志：查看/var/log/audit/audit.log，使用ausearch -f /path/to/fileA搜索fileA路径，可获取删除操作的执行用户、时间、命令等详细信息（需系统开启审计功能）。
• 检查用户Shell历史：查看相关用户（尤其是bot1）的~/.bash_history或~/.zsh_history，搜索是否有rm fileA或相关Git命令记录。注意用户可能手动清空历史，但仍有排查价值。
• 排查自动化任务：检查bot1用户的定时任务（crontab -u bot1 -l），以及该用户目录下的自动化脚本，确认是否存在定时删除fileA的逻辑。
• 实时监控文件变化：使用inotifywait工具临时监控fileA路径，命令示例：inotifywait -m -e delete /path/to/fileA，下次删除操作触发时会实时输出操作细节（需先安装inotify-tools包）。

权限关联排查 #

仓库文件权限为u=rw,g=r,o=r，属主为bot1，意味着只有bot1用户或拥有sudo权限切换到bot1的用户具备修改/删除仓库文件的权限。可优先排查bot1用户的操作记录、自动化任务，以及有sudo权限的用户是否执行过相关操作。

内容的提问来源于stack exchange，提问作者Pi_die_die