如何配置Git日志仓库仅允许客户端推送、禁止拉取其他日志？

核心思路 #

通过Git服务器的访问控制，限制普通客户端仅能执行推送操作、禁止拉取；同时保留管理员/授权用户的完整拉取权限。以下是几种落地可行的方案：

1. SSH命令限制（自建服务器最简方案） #

如果你的Git仓库通过SSH访问，直接在服务器的~/.ssh/authorized_keys文件中，给客户端的SSH密钥添加命令限制，仅允许执行推送相关的git receive-pack命令：

command="git-receive-pack '/var/git/logs-repo.git'",no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ... client1@hostname

• 原理：Git拉取依赖git upload-pack命令，推送依赖git receive-pack，通过限制客户端只能执行后者，彻底阻断拉取操作。
• 操作提示：客户端首次推送新分支时，需执行git push origin <client-branch>；后续推送日志建议采用追加式提交，直接用git push即可，无需拉取远程内容。

2. 使用Gitolite做精细权限管理（多客户端场景首选） #

Gitolite是专门针对Git的权限控制工具，可实现仓库、分支、用户的细粒度权限划分：

1. 安装配置Gitolite后，在仓库配置文件conf/gitolite.conf中添加规则：

repo logs-repo
    # 允许客户端推送各自专属分支，禁止拉取任何内容
    RW+ logs/ = client1 client2 client3
    # 允许授权用户拉取所有分支内容
    R = admin ops-team

• 规则说明：logs/是分支前缀，比如客户端1只能推送logs/client1分支，客户端2只能推送logs/client2，彼此无法访问对方分支。
• 管理操作：管理员可通过git pull origin logs/client1拉取指定客户端的日志，也可通过脚本自动合并所有分支到主分支统一归档。

3. 托管平台（GitLab/GitHub）的权限配置 #

如果使用云托管Git平台，可结合分支保护与成员权限实现需求：

• 为每个客户端创建专属分支（如client/logs-client1），设置仅该客户端用户拥有该分支的推送权限。
• 在项目成员权限中，给客户端用户分配最低权限（如GitLab的"开发者"），同时通过分支保护规则禁止他们访问其他分支；部分平台支持路径级权限，可直接限制客户端仅能读写自己的分支路径。

配合你的分支方案 #

你原本计划的「每个客户端单独分支+定期合并到主分支」完全可行，结合上述权限控制后：

• 客户端仅能推送自己的分支，无法查看其他客户端的日志内容。
• 管理员可随时拉取任意客户端的分支，或通过自动化脚本将所有分支日志合并到主分支统一管理。

内容的提问来源于stack exchange，提问作者Izikon