如何防止Jenkins构建中开发团队修改Build ID的git config文件？

一、彻底锁定全局Git配置文件 #

如果之前修改权限无效，大概率是没设置正确的文件归属和权限：

• 找到Jenkins运行用户的全局Git配置文件（通常是~/.gitconfig，~为Jenkins用户的家目录）
• 执行以下命令将文件设为root所有并只读：

  chown root:root /var/lib/jenkins/.gitconfig
  chmod 444 /var/lib/jenkins/.gitconfig
  

  之后任何git config --global命令都会因权限不足失败，从根源阻止修改。

二、用项目级配置替代全局配置 #

强制各团队使用项目专属Git配置，避免触碰全局设置：

• 在Jenkins项目配置的「Additional Behaviours」中添加「Custom user name/e-mail address」，直接在项目层面指定Git用户名和邮箱，无需修改全局配置。
• 要求团队在构建脚本中使用git config --local替代git config --global，仅修改当前构建仓库的配置，不会影响全局或其他项目。

三、拦截git config --global命令执行 #

脚本层面拦截 #

在构建脚本开头加入检查逻辑，直接终止违规构建：

# 检查当前脚本是否包含git config --global命令
if [[ "$0" == *bash* || "$0" == *sh* ]]; then
  if grep -q "git config --global" "$0"; then
    echo "ERROR: 禁止执行git config --global命令，请使用项目级配置"
    exit 1
  fi
fi

插件层面管控 #

使用Jenkins的「Script Security Plugin」：

• 在全局安全配置中，添加脚本批准规则，拒绝包含git config --global的命令执行。
• 开启Pipeline沙箱模式，限制危险命令的运行权限，未批准的命令无法执行。

四、隔离团队构建环境 #

• 为不同团队分配独立的Jenkins Agent节点，每个节点使用专属运行用户，全局Git配置相互隔离，修改不会跨团队影响。
• 采用Docker容器作为构建环境，每次构建启动全新容器，构建完成后销毁，全局配置修改无法持久化，彻底避免污染。

内容的提问来源于stack exchange，提问作者Jay