Git Extensions推送远程Linux仓库变更时如何使用sudo提权

核心逻辑：避免直接向无权限的/etc目录写入，通过用户目录下的中转裸仓库接收SSH推送，搭配权限最小化的sudo规则和接收钩子，以root身份完成/etc目录的同步和etckeeper提交，全程使用myuser账号连接，不需要root登录权限。 #

1. 远程Debian主机配置sudo最小权限规则 #

使用myuser账号登录远程主机，执行以下命令编辑sudo配置：

sudo visudo

在配置文件末尾追加如下规则（请先通过which git、which etckeeper确认两个二进制文件的绝对路径，Debian默认路径如下）：

myuser ALL=(root) NOPASSWD: /usr/bin/git --git-dir=/etc/.git --work-tree=/etc checkout -f, /usr/bin/etckeeper commit "Pushed from Windows Git Extensions via myuser"

规则说明：该配置仅允许myuser无密码执行两条固定的root权限命令，不开放全量sudo权限，无越权风险。
保存退出visudo后，规则即时生效。

2. 创建中转裸仓库与推送触发钩子 #

不要直接将/etc/.git作为远程推送目标，在myuser家目录创建专门接收推送的裸仓库：

mkdir -p ~/etckeeper-push.git
cd ~/etckeeper-push.git
git init --bare

编辑裸仓库的post-receive钩子文件~/etckeeper-push.git/hooks/post-receive，写入以下内容：

#!/bin/bash
set -e
# 以root身份将推送的提交强制检出到/etc目录
sudo /usr/bin/git --git-dir=/etc/.git --work-tree=/etc checkout -f
# 调用etckeeper记录变更，无变更时自动忽略报错
sudo /usr/bin/etckeeper commit "Pushed from Windows Git Extensions via myuser" || true

给钩子文件添加可执行权限：

chmod +x ~/etckeeper-push.git/hooks/post-receive

执行首次初始同步，避免本地和远程/etc内容冲突：

cd /etc
sudo git pull ~myuser/etckeeper-push.git

3. 本地Windows Git Extensions配置 #

打开本地管理/etc配置的Git仓库，将远程仓库地址修改为：

myuser@<远程主机IP或域名>:~/etckeeper-push.git

后续正常执行提交、拉取、推送操作即可，推送过程会自动触发远程钩子，以root权限完成/etc目录的更新，不会再出现权限拒绝报错。 #

注意事项 #

• 禁止直接将远程地址设置为/etc/.git，普通用户对/etc目录无写入权限，直接推送必然触发权限错误。
• 每次推送前建议先执行拉取操作，合并远程主机上/etc的最新变更，避免文件冲突。
• 如果需要自定义提交说明，可以修改sudo规则和钩子内的etckeeper commit命令参数，保持两处内容一致即可。

内容的提问来源于stack exchange，提问作者klor