如何为GitHub组织所有仓库统一部署pre-commit hook并限制脚本修改权限

方案1：GitHub组织级规则集+服务端校验（最可靠，推荐优先使用） #

• 首先将你的分支命名校验pre-commit逻辑封装为GitHub Actions工作流，存放在一个独立的仅授权所有者可修改的公共仓库中，仓库可命名为org-git-hooks，权限配置为所有组织成员仅拥有读权限，仅指定所有者有写权限。
• 进入GitHub组织的「设置」-「规则」-「规则集」页面，新建全局组织规则集：
  • 适用范围勾选「所有现有仓库」和「未来新建的仓库」
  • 添加「需要状态检查通过」规则，绑定你封装的Actions工作流为必须通过的检查项
  • 开启「禁止绕过规则集」开关，仅给授权所有者开放绕过权限
• 该方案所有校验逻辑完全在GitHub服务端执行，普通开发者既无法修改校验脚本，也无法本地跳过校验，无需开发者本地做任何配置即可全局生效。

方案2：pre-commit框架 + 组织模板仓库（适配本地+服务端双校验场景） #

• 同样将pre-commit钩子脚本上传到前述的独立管控仓库，作为pre-commit的远程钩子源
• 创建组织级仓库模板，在模板的.pre-commit-config.yaml中配置直接引用中心仓库的钩子地址
• 在组织设置中开启「所有新建仓库默认使用该模板」的配置
• 针对现有存量仓库，可以编写批量脚本给所有仓库提交PR添加.pre-commit-config.yaml文件，同时配合组织规则集强制要求pre-commit检查必须通过才能合并代码
• 额外在组织规则集中添加路径限制规则：禁止普通用户修改仓库内的.pre-commit-config.yaml文件，仅允许授权所有者修改该路径内容

权限管控补充要点 #

• 存储钩子逻辑的中心仓库必须严格限制写权限，仅给指定授权所有者开放维护权限，其他所有组织成员仅开放读权限
• 组织规则集必须开启「仅管理员可绕过」配置，避免普通用户跳过校验
• 如果需要本地也强制生效，可以配合组织内的开发环境初始化脚本，统一给所有开发者本地的git模板目录预置该pre-commit hook，本地钩子可添加自校验逻辑，检测到钩子被篡改时直接阻止提交。

内容的提问来源于stack exchange，提问作者DevOpsAspirant