GitLab SSH部署：应选用具备何种权限的用户？

不推荐直接用 www-data 的原因 #

• www-data 是Web服务的运行用户，它的权限仅需满足读取静态资源、运行应用代码即可。用它做部署的话，一旦部署私钥泄露，攻击者直接拥有Web服务的操作权限，能篡改应用代码、读取敏感配置，风险极高。
• 部署操作（拉取代码、替换文件、重启服务等）和Web服务的运行权限没必要重合，权限分离能有效降低攻击面。

绝对不建议用 root 的原因 #

root 拥有服务器最高权限，一旦部署私钥泄露，攻击者可完全控制整台服务器，后果不堪设想。哪怕是临时提权，也会引入不必要的风险。

最优方案：创建专用的最小权限部署用户 #

• 创建专门的部署用户（比如命名为 deploy），仅授予它必要的部署权限：
  • 对应用目录（如 /var/www/yourapp）拥有读写权限，能完成拉取代码、替换文件的操作
  • 如果需要重启服务（如Nginx、PHP-FPM），可通过sudoers配置仅允许该用户执行特定的重启命令，且无需输入密码（示例配置：deploy ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx）
• 将GitLab CI的私钥关联到这个专用用户，从根源避免权限过大带来的安全隐患。

补充：若已在用 www-data 的整改建议 #

• 立即生成新的部署私钥，替换GitLab CI变量中的旧密钥
• 创建专用部署用户，重新配置CI/CD流程并逐步迁移
• 严格限制www-data的权限：确保它仅能读取应用目录，无法修改（如果应用有运行时写入需求，单独划分可写入目录并限制写入范围）

内容的提问来源于stack exchange，提问作者gyros