使用phpseclib从GitHub拉取代码实现网站自动更新的问题

我来帮你梳理下这段Git自动更新代码里需要注意的技术点和优化方向，毕竟虚拟主机环境下的自动更新容易踩各种小坑：

1. 防止交互式操作导致SSH会话卡住 #

虚拟主机的Git环境经常没配置基础信息，或者首次连接GitHub时需要确认主机密钥，这会让git pull卡在等待输入的状态，直接导致更新失败。你可以提前做这两步配置：

• 先设置Git的全局用户名和邮箱（避免Git提示“please tell me who you are”）：

  $ssh->exec("git config --global user.name '你的GitHub用户名'");
  $ssh->exec("git config --global user.email '你的GitHub绑定邮箱'");
  

• 提前把GitHub的主机密钥加入known_hosts，跳过首次连接的确认提示：

  $ssh->exec("ssh-keyscan github.com >> ~/.ssh/known_hosts");
  

2. 处理本地修改导致的pull失败 #

如果~/source目录里有未提交的本地改动（比如手动修改过文件），默认的git pull会直接失败，因为Git不会自动覆盖本地变更。针对自动更新场景，有两种处理方式：

• 暂存本地修改（适合需要保留改动的场景，但自动更新不推荐）：

  $output = $ssh->exec("cd ~/source && git stash && git pull origin master");
  // 若要恢复修改可追加 git stash pop，但可能引发冲突
  

• 强制覆盖本地（适合纯部署场景，确保代码和远程仓库完全一致）：

  $output = $ssh->exec("cd ~/source && git fetch origin master && git reset --hard origin master");
  

3. 捕获命令执行结果，方便排查问题 #

你当前用$ssh->write()只是发送命令，无法获取执行结果，出问题了根本不知道哪里错了。换成exec()方法可以直接拿到输出，还能检查退出状态码判断是否成功：

// 把cd和git命令合并成一条，避免目录切换问题
$output = $ssh->exec("cd ~/source && git pull origin master 2>&1");
// 2>&1 是把错误输出重定向到标准输出，这样能捕获所有日志
echo $output;

// 检查命令是否执行成功
if ($ssh->getExitStatus() !== 0) {
    throw new Exception("Git拉取失败：" . $output);
}

4. 权限相关的注意事项 #

• 确保SSH用户对~/source目录有完整的读写权限；
• 你用的SSH密钥需要添加到GitHub仓库的Deploy Keys里（不是用户的SSH Keys），并且勾选“Allow write access”（如果需要推送的话，拉取只需要只读权限）；
• 虚拟主机的PHP进程用户和SSH用户如果是同一个，那没问题；如果不是，要确保PHP能读取到SSH密钥文件（注意文件权限，一般设为600）。

额外的Webhook安全建议 #

虽然你没问，但必须提：GitHub Webhook一定要设置Secret，在接收请求的PHP代码开头验证签名，避免恶意请求触发更新：

$webhookSecret = "你的Webhook密钥";
$signature = $_SERVER['HTTP_X_HUB_SIGNATURE'];

if (!$signature) {
    die("无签名，拒绝请求");
}

list($algo, $hash) = explode('=', $signature, 2);
$payload = file_get_contents('php://input');
$expectedHash = hash_hmac($algo, $payload, $webhookSecret);

// 用hash_equals避免时序攻击
if (!hash_equals($expectedHash, $hash)) {
    die("签名无效，拒绝请求");
}

内容的提问来源于stack exchange，提问作者user3344311