如何配置仓库专属且不推送的Git file协议以安全使用子模块？

1. 仓库本地配置子模块（绝不推送到远程） #

没必要修改.gitmodules文件（这个会被推送到公共服务器），直接改当前仓库本地的.git/config来配置子模块的本地路径：

• 初始化子模块时，直接用本地路径添加，同时跳过.gitmodules的修改：

  git submodule add --name submod1 ../submod1 ./submod1
  

  要是已经有子模块条目在.gitmodules里，直接编辑.git/config，把对应子模块的url改成相邻的本地路径（比如../submod2，Git会自动识别成本地路径，不用写file://前缀）
• 这种配置只存在于你本地的.git/config里，git push根本不会把它推到远程，完全是这个仓库独有的本地设置。

2. 全局Git安全配置，锁死file协议的访问范围 #

为了彻底防住其他恶意仓库滥用file协议读取本地文件，在全局Git配置里设置file协议的允许规则：

• 要是只想允许当前用户目录下的仓库用file协议：

  git config --global protocol.file.allow user
  

• 想更严格的话，只开放你项目所在的特定目录：

  git config --global protocol.file.allow path:/home/you/your-projects-folder
  

• 这么设置后，哪怕别的仓库想通过file协议访问本地其他路径，Git直接拒绝，从根源上堵死安全漏洞。

3. 额外小技巧：用相对路径替代file协议 #

因为你的仓库和子模块是相邻的，根本不用显式写file://，直接用相对路径（比如../submod1）当子模块的url就行，Git会自动处理成本地路径，既简洁又安全——相对路径只会指向相邻的仓库，不会乱跳其他目录。

内容的提问来源于stack exchange，提问作者DannyNiu