如何配置Git实现单向分支管控，禁止junk分支合并到master分支

存在成熟的多层防护方案，仅靠本地Git配置无法100%拦截所有误操作，搭配本地钩子+服务端强制规则即可彻底避免junk分支被误合并到master。

本地配置的作用是在开发人员自己的机器上提前拦住误操作，不用等推送到远端才发现问题：

• 配置共用Git钩子：把钩子脚本存到仓库内的统一目录（比如项目根目录下的.githooks/文件夹），团队所有成员拉取代码后执行一次git config core.hooksPath .githooks，即可全局生效仓库自带的校验规则，不用每个人单独编写。
• 在钩子目录下新建pre-merge-commit文件，写入以下校验逻辑：

#!/bin/sh
# 拦截master分支合并junk的操作
current_branch=$(git rev-parse --abbrev-ref HEAD)
if [ "$current_branch" = "master" ]; then
  # 检测待合并内容是否包含junk分支的提交
  junk_commit=$(git rev-parse junk 2>/dev/null)
  if [ -n "$junk_commit" ] && git rev-list MERGE_HEAD | grep -qxF "$junk_commit"; then
    echo "错误：禁止将junk分支合并到master分支，操作已终止"
    exit 1
  fi
fi
exit 0

写完给脚本加可执行权限：chmod +x .githooks/pre-merge-commit。配置完成后，任何人在本地master分支执行git merge junk都会被直接拦截，合并流程不会继续执行。

注意：本地钩子可以通过git merge --no-verify参数跳过，不能作为唯一防护手段。

服务端规则是所有协作者都无法绕过的最后一道防线，必须配置：

• 分支保护规则：所有主流代码托管平台（GitHub、GitLab、Gitea、Bitbucket等）都支持分支保护配置，给master分支开启保护后，可直接设置允许合入的来源分支范围，将junk加入禁止合入的黑名单，从合并请求（PR/MR）的提交入口直接拦截，用户根本无法发起从junk到master的合并申请。
• 自建仓库钩子：如果是团队自行搭建的裸Git仓库，可在服务端仓库的hooks目录下添加pre-receive钩子，校验所有推送到master分支的提交，一旦检测到包含junk分支的合并提交，直接拒绝推送请求，哪怕用户本地跳过了钩子校验，代码也推不到远端。

最佳实践是两层规则搭配使用：本地钩子提前拦截日常误操作减少无效操作成本，服务端规则兜底彻底杜绝漏网的可能。

内容的提问来源于stack exchange，提问作者jf328