基于HTTP的私有Git服务器如何实现按仓库粒度的用户权限控制？

旧结论的当前有效性 #

8年前提到的「原生Git不支持按仓库粒度配置访问权限」的结论现在已经不成立，你不需要强制迁移到GitHub、GitLab这类公共/自建托管平台，就能实现仓库粒度的访问管控。

原生方案的能力边界 #

你当前基于Smart HTTP搭建的私有Git服务，不需要额外安装第三方权限工具，就能实现基础的仓库级读写权限控制：

• Smart HTTP部署架构下，每个Git仓库对应独立的HTTP访问路径（比如/git/frontend.git、/git/backend.git），所有请求都会先经过你用来转发到git-http-backend的前置Web服务（Nginx/Apache等）。你可以直接在Web服务配置中，针对不同仓库的路径配置独立的认证、授权规则，给指定用户开放或禁止对应仓库的拉取、推送权限。
• 配合单个仓库内的http.uploadpack、http.receivepack配置项，你还可以单独设置每个仓库是否允许匿名拉取、是否开放推送权限，和Web服务层的规则配合，完全能覆盖基础的按仓库分配权限的需求。

第三方工具的适用场景 #

注意Gitosis已经停止维护十余年，没有任何使用价值，不要选。如果你的权限需求比「仓库维度给用户开/关读写权限」更细，再考虑用Gitolite这类工具即可，它能提供更灵活的细粒度管控：

• 分支、标签级权限控制，比如限制指定用户只能向dev、test等非保护分支推送，无权修改main分支
• 仓库内目录级权限控制，比如限制某用户只能修改仓库中对应业务模块的目录，无权触碰其他目录内容
• 批量管理用户、仓库权限，不用每次加权限、加用户都去改Web服务器的配置文件
• 自带操作审计、推送规则校验、公钥自动管理等进阶功能

内容的提问来源于stack exchange，提问作者Jesus Urquizo