基于Git的博客系统：如何配置私有仓库的账号密码与操作权限？

API 探路者

2026-5-15

为私有Git仓库配置认证与权限控制（Nginx + git-http-backend）

刚好我之前做过类似的架构，咱们一步步来搞定用户名密码认证和细粒度操作权限（pull/push区分），完全适配你当前用Nginx+git-http-backend的方案。

一、先搞定基础的用户名密码认证

Nginx自带HTTP Basic认证，结合htpasswd工具就能快速创建用户密码库：

安装htpasswd（按需选择对应系统的命令）：
- Debian/Ubuntu：sudo apt install apache2-utils
- RHEL/CentOS：sudo yum install httpd-tools
创建密码文件（建议存到Nginx配置目录下，比如/etc/nginx/.git_auth）：
- 添加第一个用户（-c表示创建新文件）：sudo htpasswd -c /etc/nginx/.git_auth alice，按提示输入密码即可
- 添加后续用户（去掉-c，避免覆盖已有用户）：sudo htpasswd /etc/nginx/.git_auth bob

修改Nginx配置，给Git仓库路径加上认证：
打开你的站点配置文件（比如/etc/nginx/sites-available/git-blog），在对应location块里加入认证规则：

server {
    listen 80;
    server_name your-git-domain.com;

    # 匹配所有Git仓库的请求路径
    location ~ /git(/.*) {
        # 启用HTTP Basic认证，提示语可以自定义
        auth_basic "Private Git Repositories";
        auth_basic_user_file /etc/nginx/.git_auth;

        # 转发请求到git-http-backend
        fastcgi_pass unix:/var/run/fcgiwrap.socket; # 也可以用tcp://127.0.0.1:9000，看你的fcgiwrap配置
        fastcgi_param SCRIPT_FILENAME /usr/lib/git-core/git-http-backend;
        fastcgi_param PATH_INFO $1;
        fastcgi_param GIT_PROJECT_ROOT /var/git/repos; # 替换成你的仓库根目录
        fastcgi_param GIT_HTTP_EXPORT_ALL "";
        include fastcgi_params;
    }
}

现在所有仓库都需要输入用户名密码才能访问，但还没区分pull和push权限，接下来细化这部分。

二、配置细粒度的操作权限（区分pull/push）

Git的HTTP请求有个特点：pull操作对应GET请求，push操作对应POST请求。我们可以利用Nginx的请求方法判断，结合用户/组来控制权限：

方法1：单个仓库的精准权限控制

如果要给某个特定仓库（比如/var/git/repos/alice.git）设置：只有alice能push，其他认证用户只能pull：
在Nginx配置里新增针对该仓库的location块（要放在通用配置前面，因为Nginx匹配规则是从上到下）：

# 针对alice的私有仓库单独配置
location ~ /git/alice.git(/.*)? {
    auth_basic "Private Git Repositories";
    auth_basic_user_file /etc/nginx/.git_auth;

    # 所有认证用户允许执行pull（GET请求）
    if ($request_method = GET) {
        satisfy any;
        allow all;
    }

    # 仅允许alice执行push（POST请求）
    if ($request_method = POST) {
        satisfy all;
        allow alice;
        deny all;
    }

    # 转发到git-http-backend的参数不变
    fastcgi_pass unix:/var/run/fcgiwrap.socket;
    fastcgi_param SCRIPT_FILENAME /usr/lib/git-core/git-http-backend;
    fastcgi_param PATH_INFO $1;
    fastcgi_param GIT_PROJECT_ROOT /var/git/repos;
    fastcgi_param GIT_HTTP_EXPORT_ALL "";
    include fastcgi_params;
}

# 其他仓库的通用认证配置
location ~ /git(/.*) {
    auth_basic "Private Git Repositories";
    auth_basic_user_file /etc/nginx/.git_auth;

    fastcgi_pass unix:/var/run/fcgiwrap.socket;
    fastcgi_param SCRIPT_FILENAME /usr/lib/git-core/git-http-backend;
    fastcgi_param PATH_INFO $1;
    fastcgi_param GIT_PROJECT_ROOT /var/git/repos;
    fastcgi_param GIT_HTTP_EXPORT_ALL "";
    include fastcgi_params;
}

方法2：基于用户组的批量权限管理

如果用户和仓库数量较多，一个个配置太麻烦，可以用htgroup创建用户组，按组分配权限：

创建用户组文件（比如/etc/nginx/.git_groups）：
```
writers: alice charlie
readers: bob dave
```

修改Nginx配置，引入组认证：

location ~ /git(/.*) {
    auth_basic "Private Git Repositories";
    auth_basic_user_file /etc/nginx/.git_auth;
    auth_basic_group_file /etc/nginx/.git_groups;

    # 允许readers和writers组执行pull
    if ($request_method = GET) {
        satisfy any;
        allow @readers;
        allow @writers;
        deny all;
    }

    # 仅允许writers组执行push
    if ($request_method = POST) {
        satisfy all;
        allow @writers;
        deny all;
    }

    # git-http-backend参数不变
    fastcgi_pass unix:/var/run/fcgiwrap.socket;
    fastcgi_param SCRIPT_FILENAME /usr/lib/git-core/git-http-backend;
    fastcgi_param PATH_INFO $1;
    fastcgi_param GIT_PROJECT_ROOT /var/git/repos;
    fastcgi_param GIT_HTTP_EXPORT_ALL "";
    include fastcgi_params;
}

进阶推荐：用gitolite简化多仓库管理

如果你的用户和仓库持续增长，手动维护Nginx配置会越来越繁琐，可以搭配gitolite工具。它通过一个管理仓库就能批量配置所有仓库的权限（甚至分支级别的控制），而且完全兼容git-http-backend，不需要替换现有架构。

最后验证配置

修改完Nginx配置后，记得测试配置有效性并重启服务：
sudo nginx -t && sudo systemctl restart nginx

然后可以测试权限：

用bob的账号尝试push到alice的仓库，会收到403拒绝
用alice的账号可以正常push和pull
所有认证用户都能pull允许访问的仓库

内容的提问来源于stack exchange，提问作者LoranceChen

基于Git的博客系统：如何配置私有仓库的账号密码与操作权限？

一、先搞定基础的用户名密码认证 #

二、配置细粒度的操作权限（区分pull/push） #

方法1：单个仓库的精准权限控制 #

方法2：基于用户组的批量权限管理 #

进阶推荐：用gitolite简化多仓库管理 #