移除.git/config中的GitHub凭证后，共享.git目录是否安全？

只移除.git/config里带<user>:<GITHUB_PRIVATE_TOKEN>的远程仓库地址，还不能完全确保共享这个.git目录是安全的，需要排查以下几个可能的风险点：

• 提交历史中的敏感数据：Git的提交历史会永久记录所有曾经提交过的内容，哪怕你后来删除了包含敏感信息的文件，别人依然可以通过git log、git show等命令从历史快照里挖出这些数据。比如如果之前你不小心把带密钥、token的文件提交过，哪怕现在已经删除，这些内容还是留在Git的对象库中。
• Git日志文件残留：.git/logs/目录下的文件会记录Git操作的历史，比如你修改远程仓库地址的操作日志，可能会残留旧的带token的地址信息，需要检查这些日志文件是否包含敏感内容。
• 凭证存储文件：如果你的Git使用过凭证助手（credential helper），要确认.git目录内是否存在credentials这类存储凭证的文件，避免其中残留敏感信息。
• 自定义hooks脚本：.git/hooks/目录下如果有你添加的自定义脚本，要确认这些脚本里没有硬编码的凭证、密码或者其他敏感逻辑。

如果以上所有点都排查确认没有敏感数据，那共享这个.git目录才是相对安全的。如果提交历史里确实有敏感数据，需要用git filter-repo这类工具彻底清理历史中的敏感内容，再进行共享。

内容的提问来源于stack exchange，提问作者Chameleon