Git特定仓库用户访问权限控制实现步骤咨询

1. 创建项目专属用户组 #

为每个项目创建独立用户组，明确权限边界：

# 为项目A创建组
groupadd git-projA
# 为项目B创建组
groupadd git-projB
# 为项目C创建组
groupadd git-projC

2. 分配用户到对应组 #

将需要访问特定项目的Linux用户，添加到对应项目组（确保用户仅加入其有权限的组）：

# 将userA加入项目A的组
usermod -aG git-projA userA
# 将userB加入项目B的组
usermod -aG git-projB userB
# 将userC加入项目C的组
usermod -aG git-projC userC

注意：用户需重新登录，组权限才会生效。

3. 调整裸仓库的权限与归属 #

针对每个裸仓库，修改属组为对应项目组，并设置严格权限控制：

# 处理项目A的仓库
chgrp -R git-projA /path/to/projA.git
# 赋予组读写权限，移除其他用户所有权限
chmod -R g+rwX,o-rwx /path/to/projA.git
# 设置setgid位，确保仓库内新生成文件自动继承组权限
chmod g+s /path/to/projA.git

# 同理处理项目B、C的仓库
chgrp -R git-projB /path/to/projB.git
chmod -R g+rwX,o-rwx /path/to/projB.git
chmod g+s /path/to/projB.git

chgrp -R git-projC /path/to/projC.git
chmod -R g+rwX,o-rwx /path/to/projC.git
chmod g+s /path/to/projC.git

4. 配置Pre-Receive钩子（可选，增强安全） #

为每个仓库添加pre-receive钩子，强制验证用户所属组是否匹配仓库属组，避免权限配置疏漏：

1. 进入目标仓库的hooks目录：

cd /path/to/projA.git/hooks

2. 创建pre-receive文件并写入内容：

#!/bin/bash

# 获取当前仓库的属组
REPO_GROUP=$(stat -c "%G" "$(dirname "$0")/..")
# 获取当前SSH登录用户的组列表
USER_GROUPS=$(groups "$USER")

# 检查用户是否属于仓库属组
if ! echo "$USER_GROUPS" | grep -q "$REPO_GROUP"; then
    echo "ERROR: 你没有权限访问此仓库"
    exit 1
fi

3. 赋予钩子执行权限：

chmod +x pre-receive

重复此步骤为项目B、C的仓库配置相同钩子。

验证权限 #

让用户尝试访问非授权仓库（如userA克隆projB.git），若收到权限拒绝提示，说明隔离生效。

内容的提问来源于stack exchange，提问作者Kamal