如何禁止Git单仓普通用户本地创建未授权目录？

1. 文件系统权限控制（最直接的本地拦截） #

利用操作系统的文件权限或ACL，从底层限制仓库根目录的写入权限，仅开放已授权目录的操作权限：

• Linux/macOS 操作步骤：
  1. 整理仓库根目录下的已授权应用目录列表，例如 allowed_dirs=(app1 app2 app3)
  2. 将仓库根目录设为只读，阻止新建目录/文件：chmod 555 /path/to/monorepo
  3. 为.git目录恢复可写权限（否则无法执行Git操作）：chmod 755 /path/to/monorepo/.git
  4. 为每个已授权目录开放写权限：for dir in "${allowed_dirs[@]}"; do chmod 755 "/path/to/monorepo/$dir"; done
  5. （可选）用ACL做更精细控制，比如允许特定用户组修改已授权目录：setfacl -R -m g:dev_group:rwx /path/to/monorepo/app1
• Windows 操作步骤：
  1. 右键仓库根目录 → 属性 → 安全 → 编辑，移除普通用户的「创建文件/写入」权限
  2. 单独进入每个已授权目录，给用户开放「创建文件/写入」权限
  3. 确保.git目录的权限不受影响，用户能正常执行Git命令
• 优缺点：
  • 优点：完全本地实时拦截，无需额外工具，底层级别的限制
  • 缺点：跨平台配置逻辑不同；新增授权目录时需管理员手动调整权限

2. 实时文件监控脚本（灵活的自定义规则） #

用系统的文件监控工具（Linux的inotifywait、macOS的fswatch、Windows的FileSystemWatcher）编写脚本，实时监控仓库目录，一旦发现未授权的新目录/文件创建，立即拦截：

• Linux 示例脚本：

  #!/bin/bash
  MONOREPO_PATH="/path/to/monorepo"
  ALLOWED_DIRS=("app1" "app2" ".git") # 包含.git避免误拦截Git操作
  
  inotifywait -m -e create --format '%w%f' "$MONOREPO_PATH" | while read NEW_ITEM; do
    # 仅处理目录创建（需拦截文件可调整逻辑）
    if [ -d "$NEW_ITEM" ]; then
      ITEM_NAME=$(basename "$NEW_ITEM")
      if ! [[ " ${ALLOWED_DIRS[@]} " =~ " ${ITEM_NAME} " ]]; then
        rm -rf "$NEW_ITEM"
        echo "错误：未授权创建目录 $ITEM_NAME，已自动删除"
      fi
    fi
  done
  

• 使用方式：
  1. 安装依赖：Linux装inotify-tools，macOS通过brew install fswatch安装
  2. 把脚本保存为monorepo-monitor.sh，设置可执行权限：chmod +x monorepo-monitor.sh
  3. 让用户进入仓库时启动脚本，或设置为开机自启（比如加入.bashrc/.zshrc）
• 优缺点：
  • 优点：规则完全自定义，可灵活调整授权列表；能实时拦截
  • 缺点：需要用户保持脚本运行，可能有轻微性能开销；跨平台需编写不同脚本

3. 封装自定义命令（强制合规操作） #

把用户常用的文件操作命令（mkdir、touch）封装成自定义脚本，只有通过脚本的操作才允许执行：

• 示例自定义mkdir脚本：

  #!/bin/bash
  MONOREPO_PATH="/path/to/monorepo"
  ALLOWED_DIRS=("app1" "app2")
  
  # 检查当前目录是否在单仓内
  if [[ "$PWD" == "$MONOREPO_PATH"/* ]]; then
    TARGET_DIR=$(basename "$1")
    # 若在根目录下创建，检查是否在授权列表
    if [[ "$PWD" == "$MONOREPO_PATH" ]]; then
      if ! [[ " ${ALLOWED_DIRS[@]} " =~ " ${TARGET_DIR} " ]]; then
        echo "错误：不允许创建未授权目录 $TARGET_DIR"
        exit 1
      fi
    fi
  fi
  # 执行原mkdir命令
  /bin/mkdir "$@"
  

• 使用方式：
  1. 把脚本保存为safe-mkdir，放到用户的PATH目录（比如~/.local/bin）
  2. 在用户的shell配置文件（.bashrc/.zshrc）中添加别名：alias mkdir='safe-mkdir'
  3. 同理可封装touch等命令，确保仅能在已授权目录下新建文件
• 优缺点：
  • 优点：直接拦截用户操作命令，无需额外后台进程；规则灵活
  • 缺点：需配置用户shell环境；用户若直接调用原命令绝对路径（如/bin/mkdir）会绕过限制

额外补充：预提交钩子兜底 #

虽然核心需求是本地实时拦截，但可配合预提交钩子做最后一道防线，防止用户通过特殊方式绕过限制：

#!/bin/sh
ALLOWED_DIRS=("app1" "app2")

# 检查本次提交的新文件/目录是否属于未授权路径
git diff --name-only --cached | while read FILE_PATH; do
  ROOT_DIR=$(echo "$FILE_PATH" | cut -d'/' -f1)
  # 若为根目录下的新目录，检查是否在授权列表
  if ! [[ " ${ALLOWED_DIRS[@]} " =~ " ${ROOT_DIR} " ]] && ! [[ "$ROOT_DIR" =~ ".git" ]]; then
    echo "错误：提交包含未授权目录 $ROOT_DIR"
    exit 1
  fi
done

将脚本保存为.git/hooks/pre-commit，设置可执行权限即可。

内容的提问来源于stack exchange，提问作者Iamterribleatcoding