Git与CI/CD多环境管理求助：分支切换后配置混乱问题

核心原则：配置与代码彻底分离 #

永远不要把包含真实环境信息（尤其是敏感信息）的配置文件提交到Git仓库，这是避免配置污染的根本。以下是针对你的场景的具体方案：

1. 模板化配置+本地/环境专属配置文件 #

• 在项目根目录创建配置模板文件env.template，只保留占位符和注释，示例：

  # 数据库配置
  DB_URL=postgres://<USER>:<PASSWORD>@<HOST>:<PORT>/<DB_NAME>
  # 环境标识
  ENVIRONMENT=local
  # 其他安全配置
  API_SECRET=<YOUR_SECRET>
  

• 创建各环境的实际配置文件：.env.local（本地）、.env.dev（测试）、.env.prod（生产），将这些文件全部加入.gitignore，确保不会被提交到Git。
• 本地开发流程：每个开发者克隆项目后，复制env.template为.env.local，填充自己的本地数据库等信息，完全独立于分支代码。
• CI/CD部署流程：部署时不再通过脚本修改配置，而是直接从CI平台的保密变量中读取对应环境的配置（比如Prod的DB_URL存在CI的保密变量库），或者在部署服务器上放置对应环境的.env文件，代码通过python-dotenv自动加载。

2. 优化分支策略，避免配置合并污染 #

调整热修复的分支合并流程，杜绝Prod配置流入其他分支：

• 明确分支与环境的绑定：main分支对应Prod，develop分支对应Dev，所有功能分支基于develop创建。
• 热修复流程：从main分支拉出热修复分支，仅修改业务代码（不碰任何配置文件，因为Prod配置不在代码仓库），修复完成后合并回main，再通过git cherry-pick将修复的commit同步到develop分支，而不是直接合并main到develop——这样只会同步代码修改，不会带入任何Prod相关配置。

3. 可仓库化的Git Hooks方案 #

解决你之前遇到的钩子无法提交的问题，把钩子纳入项目管理：

• 在项目根目录创建git-hooks文件夹，存放自定义钩子脚本（比如post-checkout、post-merge），示例post-checkout脚本：

  #!/bin/bash
  # 切换分支后检查当前分支，提示用户配置切换
  CURRENT_BRANCH=$(git rev-parse --abbrev-ref HEAD)
  if [ "$CURRENT_BRANCH" = "main" ]; then
      echo "⚠️  当前分支为Prod分支，请勿在本地使用Prod配置！"
      echo "建议复制env.template为.env.local，使用本地配置"
  fi
  

• 创建install-hooks.sh初始化脚本，将仓库内的钩子链接到.git/hooks目录：

  #!/bin/bash
  HOOKS_DIR="./git-hooks"
  GIT_HOOKS_DIR=".git/hooks"
  
  for hook in $HOOKS_DIR/*; do
      hook_name=$(basename $hook)
      ln -sf ../../$HOOKS_DIR/$hook_name $GIT_HOOKS_DIR/$hook_name
      chmod +x $GIT_HOOKS_DIR/$hook_name
  done
  echo "Git hooks 安装完成"
  

• 将git-hooks文件夹和install-hooks.sh提交到Git，新成员克隆项目后执行./install-hooks.sh即可完成钩子安装，切换分支时会自动触发提示或配置切换逻辑。

4. 代码层面的环境自动识别 #

用python-dotenv实现配置的自动加载，避免手动切换：

• 安装依赖：pip install python-dotenv
• 编写config.py统一加载配置：

  import os
  from dotenv import load_dotenv
  
  # 优先读取系统环境变量，没有则读取对应环境的.env文件
  env = os.getenv("ENVIRONMENT", "local")
  load_dotenv(f".env.{env}", override=True)
  
  # 定义全局配置变量
  DB_URL = os.getenv("DB_URL")
  ENVIRONMENT = os.getenv("ENVIRONMENT")
  API_SECRET = os.getenv("API_SECRET")
  

• 本地开发时默认加载.env.local，Dev部署时设置环境变量ENVIRONMENT=dev，Prod部署时设置ENVIRONMENT=prod，代码会自动加载对应配置，无需修改代码本身。

关键提醒 #

• 敏感配置（数据库密码、密钥等）绝对不能出现在Git仓库或代码中，必须通过CI保密变量、配置中心或服务器本地文件管理。
• 本地开发环境的配置完全由开发者自己维护，不受分支合并、代码更新的影响，从根源上避免Prod配置混入本地。

内容的提问来源于stack exchange，提问作者user2236794