Linux中央Git裸仓库推送文件权限问题及管理方案咨询

你遇到的文件属主混乱、管理员无权限操作仓库的问题，核心是Linux默认文件创建逻辑导致的：用户对目录有写权限时，新建文件的属主默认为创建操作的执行用户，你初始配置仅给仓库根目录设置了770权限，没有配置组继承规则和默认权限规则，用户推送时新建的Git对象文件自然归属推送用户本人，且会受用户本地umask影响出现权限不足的问题。

执行以下命令统一修正现有仓库的属主与权限，即可立刻解决当前无法移动仓库的问题：

# 1. 统一整个仓库的属主为你的管理员账号psginfra，属组为团队Git专用用户组（提前把所有需要推送权限的用户加入该组，示例组名为gitgroup，可按实际命名替换）
sudo chown -R psginfra:gitgroup /path/to/your/aaa
# 2. 给仓库下所有目录设置setgid位，强制后续新建的文件/目录自动继承父目录的属组
sudo find /path/to/your/aaa -type d -exec chmod 2770 {} \;
# 3. 统一修正现有所有文件的权限，保证组内用户可读可写
sudo find /path/to/your/aaa -type f -exec chmod 660 {} \;

仅靠基础权限会受用户本地umask影响（部分用户umask为022时，新建文件默认组只读，会导致其他同组用户推送失败、管理员操作无权限），需要搭配ACL设置默认权限规则：

# 先安装ACL工具（若系统未预装，Debian/Ubuntu系执行apt install acl，RHEL/CentOS系执行yum install acl）
# 1. 给仓库目录设置默认ACL规则，所有后续新建的文件/目录自动给属组分配读写执行权限
setfacl -R -m d:g:gitgroup:rwx /path/to/your/aaa
# 2. 给现有文件/目录补全组权限
setfacl -R -m g:gitgroup:rwx /path/to/your/aaa

配置完成后，不管哪个用户往仓库推送内容，新建的文件都会自动继承正确的属组和组权限，不会再出现属主混乱、权限不足的问题。

• 优先使用专用服务账号托管Git仓库：不要直接开放服务器普通系统账号给所有开发人员推送，建议创建独立的git服务账号，配置git-shell为登录shell（禁止用户拿到普通服务器操作权限），所有Git操作（SSH/HTTP/Git协议）都通过该账号完成，仓库文件属主统一为git账号，管理员只要配置对应组权限或sudo规则即可管理，从根源上避免多用户创建文件导致的属主混乱。
• 权限遵循最小可用原则：仓库目录统一配置2770权限（带setgid位），文件配置660权限，禁止设置777全局可写权限，避免无关用户篡改仓库内容。
• 不要依赖用户本地环境配置：必须通过setgid+默认ACL强制管控新建文件的属组和权限，不要信任用户本地的umask设置，你无法保证所有登录用户的本地环境配置符合要求。
• 定期巡检：每隔1-2个月结合git fsck做仓库完整性校验时，同步检查仓库权限是否有偏差，及时修正，避免问题累积影响使用。
• 仓库迁移后校验配置：迁移仓库不要只拷贝文件，迁完第一时间检查属主、setgid位、ACL规则是否正确，避免把旧环境的权限问题带到新服务器。

内容的提问来源于stack exchange，提问作者lionel319