从不可信来源打开或克隆Git仓库是否存在安全风险？

• 这绝对比用记事本打开文本文件风险高很多，核心原因是Git仓库不只是纯文本内容：

  • 仓库里可能藏有恶意钩子脚本（比如pre-commit、post-checkout这类），GitHub Desktop在加载或操作仓库时，很可能触发这些脚本执行——一旦运行，恶意代码就能在你的本地系统搞事情，比如窃取数据、篡改文件甚至植入病毒。
  • 旧版本的Git存在一些对象解析类的漏洞，恶意构造的仓库可能利用这些漏洞，在Git处理仓库数据时触发代码执行，而GitHub Desktop依赖Git运行，自然也会受影响。
  • 记事本只是单纯读取文本，不会执行任何逻辑；但GitHub Desktop是和Git深度交互的工具，会完整处理仓库的所有结构，有触发恶意行为的可能性。

• 如果非要查看，给你几个相对安全的建议：

  • 先在隔离环境里操作，比如虚拟机或者沙箱，就算出问题也不会影响你的主系统。
  • 用命令行Git查看，先全局禁用钩子：Linux/macOS跑git config --global core.hooksPath /dev/null，Windows跑git config --global core.hooksPath nul，避免触发恶意脚本。
  • 只做只读操作，别在这个仓库里提交代码、切换分支，减少触发风险的可能。

内容的提问来源于stack exchange，提问作者Louie