如何限制Git Bash仅可推送至指定私有Git仓库，禁止推送至其他仓库

核心思路通过Git系统级pre-push钩子实现推送校验，配合Windows权限管控避免用户篡改规则，完全不影响正常的拉取/克隆操作。

实现步骤 #

• 步骤1：部署系统级pre-push校验钩子 #

pre-push是Git内置的前置钩子，执行push操作前会自动触发，返回非0值即可终止推送，全局部署对用户透明。

1. 管理员权限打开Git Bash，进入Git系统钩子目录：cd /c/Program\ Files/Git/etc/git-core/hooks
2. 新建pre-push无后缀脚本，写入如下内容，替换其中的允许推送仓库前缀为你司私有Git仓库的地址前缀：

#!/bin/bash
# 可按需修改为你司私有仓库匹配规则，支持正则匹配多个前缀
ALLOWED_REPO_PREFIX="git@your-company-private-git.com:"
# 若使用HTTPS协议的私有仓库请替换为如下格式
# ALLOWED_REPO_PREFIX="https://your-company-private-git.com/"

remote_repo_url=$(git remote get-url "$1")
if [[ ! $remote_repo_url =~ ^${ALLOWED_REPO_PREFIX} ]]; then
    echo "[权限拦截] 当前AVD环境仅允许推送代码至公司指定私有仓库，禁止向公共/个人私有仓库执行push操作"
    exit 1
fi
exit 0

3. 给脚本添加执行权限：chmod +x pre-push

• 步骤2：配置规则防篡改 #

  1. 执行系统级Git配置，指定全局钩子路径为系统目录，避免用户用本地钩子覆盖：git config --system core.hooksPath "C:\Program Files\Git\etc\git-core\hooks"
  2. 右键打开钩子目录的属性-安全，仅给管理员组开通写权限，普通AVD用户仅保留读取和执行权限，防止用户修改/删除校验脚本
  3. 可新增AVD开机启动脚本，每次用户登录时自动重置core.hooksPath系统配置，避免用户手动修改临时绕过规则

• 步骤3：可选双重防护 #

如果需要彻底避免用户绕开Git Bash用其他工具推送，可在AVD的Windows防火墙配置出站规则：仅允许访问你司私有Git服务器的22（SSH）/443（HTTPS）端口，拦截其他外部Git服务商的出站请求。

效果说明 #

• 所有Git操作中，仅push操作会触发校验，克隆、拉取公共/个人仓库完全不受限制，符合需求
• 规则统一由管理员管控，不需要逐用户配置，后续调整允许推送的仓库仅需更新全局脚本即可

内容的提问来源于stack exchange，提问作者DevOps Guy