GitHub monorepo如何实现按文件/目录的细粒度读权限控制

你们的场景为面向数百名用户开放数百道编程挑战提交，所有用户解法采用统一monorepo托管，目录结构如下：

challenges/
├── challenge1/
│   ├── challenge1-user1/
│   ├── challenge1-user2/
│   └── challenge1-user5/
│       ...
├── challenge2/
│   ├── challenge2-user2/
│   └── challenge2-user3/
│       ...
├── challenge3/
│   ├── challenge3-user1/
│   ├── challenge3-user3/
│   └── challenge3-user4/
│       ...
├── ...
...

核心需求为实现按用户的目录粒度读权限隔离：普通用户仅可查看自己的提交目录，仓库所有者可查看全部内容。以下是可直接落地的实现方案，以及同类场景的行业通用解法：

主流代码托管平台原生实现方案 #

如果使用商业化代码托管平台，可直接通过平台内置的细粒度权限功能实现，无需额外开发：

• GitLab：自带路径级权限控制能力，在项目权限设置中添加通配符规则，匹配路径challenges/*/*-${username}/，给相应用户授予读/写权限，管理员组配置全局全路径权限即可，规则配置后新用户提交自动匹配，无需反复手动调整。
• GitHub Enterprise：支持代码级细粒度权限管控，和GitLab配置逻辑一致，通过路径通配符绑定用户权限即可；如果用公开版GitHub，可以配合CODEOWNERS文件 + 自定义Actions实现，每次有新用户提交时自动更新CODEOWNERS规则，给对应用户目录配置专属权限，同时开启分支保护禁止普通用户修改其他目录内容。
• 自建Gitea/Gogs：最新版本已支持目录级权限配置，同样可以通过路径规则匹配实现权限隔离。

无原生权限支持的自研实现方案 #

如果使用自建Git服务没有原生路径权限能力，可以选择以下两种方案：

方案1：Git钩子拦截 #

在Git服务端部署两个钩子即可实现基础的权限校验：

• pre-receive钩子：用户推送代码时，校验修改的所有路径是否都属于该用户的授权目录，非授权路径直接驳回推送
• post-upload-pack钩子：用户拉取代码时，校验请求的文件路径是否在该用户的授权范围内，非授权路径直接拒绝返回

方案2：Git代理网关隔离 #

自行搭建一层Git代理网关，所有用户的读写请求都先经过网关校验：

1. 拉取请求：网关仅返回该用户有权限的目录内容，自动过滤其他用户的目录，用户侧感知不到过滤逻辑
2. 推送请求：校验修改路径是否属于该用户的授权范围，校验通过才转发到真实Git仓库
3. 管理员账号不做任何过滤，可正常读写全量内容

该方案对用户使用习惯无影响，还可以灵活扩展提交查重、自动判题等附加功能。

同类场景行业通用解法 #

编程竞赛、在线编程教育领域的同类场景常用的替代方案还有：

• 不直接开放Git仓库权限给普通用户，用户仅通过平台网页端/专属CLI工具提交代码，后台自动将提交内容写入monorepo对应用户目录，用户仅可通过平台界面查看自己的提交历史，该方案实现成本最低，还可以省去Git权限管控的复杂配置。
• monorepo + 子模块组合方案：每个用户的提交目录作为独立子仓库挂载到主仓库的对应路径，每个子仓库单独配置用户权限，主仓库仅保留子模块引用，该方案适合用户规模较小的场景，用户规模过大会导致子模块管理成本上升。

内容的提问来源于stack exchange，提问作者Nevermore