如何限制GitHub仓库中含未公开数据的指定包的访问权限？

方案1：拆分仓库（最可靠的原生方案） #

• 把对应未公开产品的包单独抽离成一个私有仓库，原仓库只保留公开产品的代码。
• 给全职员工分配两个仓库的完整访问权限，承包商仅获取原公开仓库的权限。
• 好处：完全贴合GitHub的仓库级权限模型，没有权限泄露风险；全职员工可以通过git submodule或git subtree把两个仓库关联，本地开发不受影响。

方案2：用私有子模块嵌入未公开包 #

• 保留主仓库，将未公开包做成独立的私有仓库，作为主仓库的Git子模块存在。
• 主仓库里只存子模块的引用，不包含未公开包的实际代码。
• 全职员工克隆主仓库后，执行git submodule update --init就能拉取未公开包内容；承包商没有私有子模块的权限，拉取时会失败，只能看到空的子模块目录。
• 注意：要在主仓库的文档里明确说明承包商无需处理该子模块，避免产生疑问。

方案3：分支隔离（仅临时过渡用） #

• 如果暂时不想拆分仓库，可以把未公开包的代码放到单独的私有分支，主分支只留公开内容。
• 设置分支保护规则，仅允许全职员工团队访问或推送该私有分支；承包商只能操作主分支。
• 缺点：存在权限漏洞——承包商若知道私有分支名称，仍可能尝试访问（虽有权限拦截，但配置不当有风险）；长期维护多分支会增加开发复杂度，不推荐作为长期方案。

避坑提示 #

• 别用Git稀疏检出做权限控制：这只是客户端的本地设置，承包商随时可以修改配置获取完整仓库内容，完全起不到隔离作用。
• CODEOWNERS仅能控制PR审批流程，无法阻止用户查看仓库内容，不适用此场景。

内容的提问来源于stack exchange，提问作者drobbins85