如何在GitLab中限制每位开发者仅可操作对应的专属分支

这个需求靠GitLab默认的粗粒度角色权限实现不了，必须结合受保护分支规则做细粒度的权限拆分，具体配置步骤如下：

第一步：先收紧全局默认的分支权限 #

进入项目的 Settings > Repository > Protected branches 配置页：

• 找到所有默认自动生成的保护分支规则（一般包含main/master等默认分支，以及GitLab默认对所有Developer开放推送权限的全局规则）
• 把所有规则的 Allowed to push、Allowed to merge 权限，从「Developers + Maintainers」调整为仅「Maintainers」
• 关闭所有全局规则的 Allowed to force push 开关，先把全开放的权限口子堵上
• 注意GitLab的分支匹配优先级：精确匹配的分支规则 > 通配符规则，后续单独给成员配的精确分支规则优先级更高，不会和全局收紧的规则冲突

第二步：为每位开发者的专属分支单独配置权限 #

还是在受保护分支配置页，逐位给成员的专属分支加规则：

• 对每一位成员对应的专属分支（比如成员A对应dev/zhao、成员B对应dev/qian、成员C对应dev/sun），单独创建一条保护规则：
  • Allowed to push：仅选择对应的那一位开发者，不要勾选整个Developer权限组
  • Allowed to merge：仅选择对应的那一位开发者
  • 按需关闭 Allowed to force push，避免成员强制推送覆盖分支历史
• 分支名用精确匹配填写，不要用宽泛的通配符（比如不要填dev/*，否则所有dev前缀的分支都会共享权限）

第三步：按管控强度补充配置 #

根据你实际的管控要求，选择对应的补充配置：

如果只需要限制跨分支写操作（允许成员拉取全部分支代码） #

直接保留成员的Developer全局角色即可，前面两步的配置已经能实现：成员无法对非专属分支执行推送、合并操作，也无法给非专属分支创建合并请求。

如果需要实现严格的分支隔离（禁止成员对非专属分支做任何操作，包括提MR、推送代码） #

• 把所有成员的项目全局角色从Developer降级为Reporter
• 保留前面第二步给每个成员专属分支开的推送/合并权限
• 这种配置下，成员的全局权限不具备任何分支的写操作能力，仅能在单独授权的专属分支上操作，同时不会对其他分支产生任何写入、提交MR的操作权限

注意：GitLab原生权限模型下，只要具备仓库的代码拉取权限，执行clone操作时就能获取仓库所有分支的提交历史，无法从原生层面完全阻止成员拉取其他分支的代码。如果业务场景要求完全隔离其他分支的代码可见性，需要配合仓库拆分、权限二次开发等方案实现，常规研发流程下上述配置已经足够覆盖“仅能操作专属分支、无法越权操作其他分支”的管控目标。

配置校验要点 #

• 检查所有通配符类的分支保护规则，确保没有给Developer组批量开放的权限项
• 用对应开发者的账号实际模拟操作：尝试向非归属分支推送代码、尝试打开其他分支的合并请求，确认所有越权操作都被GitLab拦截
• 确认项目的默认分支、正式发布分支的权限仅对项目管理员/Maintainer开放，普通开发者无操作权限

内容的提问来源于stack exchange，提问作者ff .n