SVNserve+SSH环境下目录权限限制及tunnel-user配置问题

我之前也碰到过几乎一模一样的困扰！咱们一步步拆解问题，搞定它：

1. 为什么当前IP-based的权限控制不生效？ #

你现在用${SSH_CLIENT%% *}把客户端IP作为tunnel-user传给SVN，这会导致SVN把IP当成用户标识。但SVN的authz权限系统本质是为用户名设计的，用IP作为用户匹配的话，不仅规则容易出问题（比如动态IP场景），而且svnserve在处理权限时会优先识别用户名逻辑，导致你的IP权限规则不生效——这就是为什么那个IP还能拥有全权限。

2. 如何把tunnel-user设为真实用户标识？ #

核心思路是用SSH登录时的真实用户名（而不是IP）作为SVN的tunnel-user，有两种灵活的方式：

方式一：固定指定用户名（适合单公钥对应用户的场景） #

在authorized_keys里，给每个用户的公钥条目单独指定tunnel-user，比如：

command="svnserve -t --tunnel-user=\"Alice\" -r \"/home/myDir\"",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ... Alice@example.com

这样无论这个公钥从哪个IP登录，SVN都会识别用户为Alice。

方式二：用SSH环境变量自动获取用户名（通用场景） #

SSH登录后，系统会自动设置$USER环境变量，对应当前登录的SSH用户名。你可以把authorized_keys里的命令改成：

command="svnserve -t --tunnel-user=\"$USER\" -r \"/home/myDir\"",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ...

这样每个SSH用户登录时，SVN都会自动拿到对应的用户名，无需手动逐个配置。

3. 配置authz实现精确权限控制 #

当SVN能正确识别用户名后，就可以正常用authz配置权限了：

第一步：确保svnserve启用authz #

在仓库的svnserve.conf里（通常在/home/myDir/someRepo/conf/svnserve.conf），开启authz配置：

anon-access = none       # 关闭匿名访问
auth-access = write      # 授权用户可写（根据需求调整）
authz-db = authz         # 指定同目录下的authz文件作为权限规则文件

第二步：编写authz权限规则 #

比如要限制只有Alice能访问someRepo:/dir1/dir2，其他用户无法访问，同时给其他用户设置仓库根目录的权限：

[groups]
# 可选：分组管理用户，方便批量配置
dev_team = Alice, Bob
readonly_team = Charlie

[someRepo:/]
@dev_team = rw           # 开发组拥有根目录读写权限
@readonly_team = r       # 只读组拥有根目录只读权限
* =                      # 其他用户无任何权限

[someRepo:/dir1/dir2]
Alice = rw               # 仅Alice拥有该目录读写权限
* =                      # 其他用户无权限

4. 验证配置是否生效 #

• 用不同用户登录SSH后执行SVN操作，比如用Charlie尝试访问dir1/dir2，应该会收到权限拒绝的提示；
• 执行svn log查看，日志里显示的用户应该是你设置的用户名（比如Alice），而不再是IP地址。

注意事项 #

• 确保authorized_keys里的命令没有语法错误，尤其是引号的转义（用\"转义双引号）；
• 检查authz文件的权限，确保svnserve运行的用户能读取该文件（通常设置为chmod 644 authz即可）；
• 测试前最好重启svnserve服务，确保配置生效。

内容的提问来源于stack exchange，提问作者Sunny