如何通过可同步Github的项目级配置阻止成员执行指定命令？

需求合理性说明 #

你的需求完全合理：服务端IAM权限是最后一道兜底防线，客户端前置拦截可以大幅降低成员误操作概率，且无需针对高频新增的管控场景反复调整服务端权限策略，降低运维成本。

实现方案（支持同步到GitHub、macOS兼容） #

采用direnv实现项目级shell环境自动加载，仅在当前项目根目录下生效，离开项目后自动恢复全局命令，不会影响其他项目使用。

第一步：成员本地一次性配置 #

所有团队成员在本地执行一次以下操作即可：

• 安装direnv：brew install direnv
• 将direnv hook添加到本地shell配置（以zsh为例，bash替换为.bashrc即可）：
  执行echo 'eval "$(direnv hook zsh)"' >> ~/.zshrc && source ~/.zshrc

第二步：项目端可同步配置 #

在项目根目录创建以下2个文件，直接提交到GitHub即可，所有成员拉取代码后执行一次direnv allow就会永久生效：

1. 新建.envrc文件，内容如下：

source ./.command-blocks.sh

2. 新建.command-blocks.sh文件，内容如下，可自行扩展要拦截的命令：

# 拦截amplify高危命令
amplify() {
  # 配置要拦截的amplify子命令
  local blocked_subcommands=("push" "pull" "remove")
  # 配置白名单：如果带--force参数则放行（仅授权人员使用）
  if [[ "$*" == *--force* ]]; then
    command amplify "$@"
    return $?
  fi
  # 命中拦截规则的提示
  if [[ " ${blocked_subcommands[@]} " =~ " $1 " ]]; then
    echo -e "\033[0;31m[操作拦截] 禁止直接执行 amplify $1 命令\033[0m"
    echo "如需调整Amplify后端配置，请走正式发布审批流程联系运维人员操作"
    return 1
  fi
  # 非拦截的子命令正常执行
  command amplify "$@"
}

# 可在此处新增其他命令的拦截逻辑，比如拦截pnpm publish、terraform apply等

可选优化 #

如果需要更严格的管控，可以配合Git pre-commit钩子校验：在项目的pre-commit配置中加入检查逻辑，防止成员私自注释拦截规则提交到仓库。

注意事项 #

• 该方案属于客户端软限制，仅用于降低误操作概率，服务端IAM权限管控仍需保留作为兜底防线
• 仅在进入项目根目录时生效，切换到其他目录后所有命令自动恢复全局逻辑，无全局污染
• 后续新增需要拦截的命令，只需修改.command-blocks.sh提交到仓库，成员拉取代码后自动生效，无需重新配置本地环境

内容的提问来源于stack exchange，提问作者HackRx