推送至Git master分支时自动更新数百个Windows部署方案咨询

根据你的场景——多台始终在线的Windows服务器、有管理员权限但外部人员也能访问、源码体积小——我整理了几个兼顾实时性、安全性和易维护性的方案，你可以按需选择：

方案1：Git服务器钩子+远程执行脚本（推荐，实时触发） #

这个方案能做到推代码到master就立刻更新所有服务器，完全贴合你要的自动更新需求，而且能严格控制凭据安全。

具体步骤： #

1. 在Git服务器上配置post-receive钩子
   找到你的Git仓库里的hooks文件夹，把里面的post-receive.sample复制一份，重命名为post-receive（去掉.sample后缀）。打开这个文件编辑，添加触发远程Windows服务器更新的逻辑。

   因为是Windows服务器，我们可以用SSH远程执行PowerShell命令（前提是你的Windows服务器装了OpenSSH服务）。举个简单的钩子示例：

   #!/bin/bash
   while read oldrev newrev refname; do
       # 只在master分支有推送时触发
       if [[ $refname == "refs/heads/master" ]]; then
           # 远程连接每台Windows服务器，执行更新脚本
           ssh administrator@server1-ip 'powershell -ExecutionPolicy Bypass -File "C:\your-repo-path\update-script.ps1"'
           ssh administrator@server2-ip 'powershell -ExecutionPolicy Bypass -File "C:\your-repo-path\update-script.ps1"'
           # 有更多服务器就继续加
       fi
   done
   

   👉 重要：钩子脚本里绝对不能硬写密码！用SSH密钥认证就好——把Git服务器的公钥添加到每台Windows服务器管理员用户的authorized_keys文件里，而且要把authorized_keys的权限设为只有所有者可读，防止外部人员碰。

2. 在每台Windows服务器上准备更新脚本
   在你的产品仓库目录下创建update-script.ps1，内容大概是这样：

   # 切换到仓库目录
   Set-Location "C:\path\to\your\product-repo"
   # 拉取master分支最新代码
   git pull origin master
   # 如果你的产品是服务端程序，需要重启服务的话，加这行（替换成你的服务名）
   # Restart-Service -Name "YourProductService"
   

   给这个脚本设置权限，只允许管理员修改，避免被篡改。

3. 验证权限
   确保执行脚本的管理员账号有Git拉取权限，以及重启服务的权限（如果需要）。

方案2：Windows任务计划定期拉取（简单易维护，非实时） #

如果实时更新不是刚需，这个方案最省心，不用折腾Git服务器的钩子，适合快速上手。

具体步骤： #

1. 写好PowerShell更新脚本
   和方案1里的update-script.ps1一样，包含切换目录、拉取代码、重启服务（可选）的逻辑。

2. 配置任务计划程序
   打开Windows的「任务计划程序」，新建一个任务：

   • 触发器：设置成每隔X分钟/小时触发（比如每15分钟，根据你的更新频率来）
   • 操作：选择启动程序，程序选powershell.exe，参数填-ExecutionPolicy Bypass -File "C:\your-repo-path\update-script.ps1"
   • 设置：勾选「不管用户是否登录都要运行」，并且选择「使用最高权限运行」（因为需要管理员权限拉取代码、重启服务）

3. 凭据安全
   让任务用管理员账号运行，然后给Git配置记住凭据——在PowerShell里执行git config --global credential.helper wincred，这样Git会把仓库的账号密码存在Windows凭据管理器里，不用每次拉取都输入。

方案3：CI/CD工具批量部署（适合多服务器管理） #

如果你的Git仓库在GitHub/GitLab这类平台上，用它们的CI/CD工具来批量更新服务器会更方便，而且凭据管理更安全。

具体步骤： #

1. 在Git平台配置CI/CD工作流
   比如用GitHub Actions，在你的仓库里创建.github/workflows/deploy.yml文件：

   name: Deploy to Windows Servers
   # 只有推送到master分支时触发
   on:
     push:
       branches: [ master ]
   jobs:
     deploy:
       runs-on: windows-latest
       steps:
         # 部署到第一台服务器
         - name: Deploy to Server 1
           uses: appleboy/ssh-action@v0.1.7
           with:
             host: your-server-1-ip
             username: administrator
             # 从GitHub Secrets里取SSH私钥，绝对不能把私钥提交到仓库！
             key: ${{ secrets.SSH_PRIVATE_KEY }}
             script: powershell -ExecutionPolicy Bypass -File "C:\your-repo-path\update-script.ps1"
         # 部署到第二台服务器，重复上面的步骤
         - name: Deploy to Server 2
           uses: appleboy/ssh-action@v0.1.7
           with:
             host: your-server-2-ip
             username: administrator
             key: ${{ secrets.SSH_PRIVATE_KEY }}
             script: powershell -ExecutionPolicy Bypass -File "C:\your-repo-path\update-script.ps1"
   

   把你的SSH私钥存在GitHub的Secrets里（仓库设置→Secrets and variables→Actions），这个私钥会被加密存储，只有CI/CD流程能访问。

2. Windows服务器配置
   和方案1一样，给每台服务器装OpenSSH服务，把CI/CD平台的公钥添加到管理员用户的authorized_keys里，并且设置严格的权限。

必看的安全提醒 #

• 绝对不要硬编码凭据：不管用哪个方案，密码、私钥这类敏感信息绝对不能写在脚本、钩子或者代码里，用密钥认证、加密存储的凭据或者CI/CD Secrets才安全。
• 权限锁死：所有脚本、钩子、密钥文件都要设置成只有管理员能访问和修改，防止外部人员篡改。
• 先测单台服务器：不要直接在所有服务器上部署，先选一台测试，确保更新脚本不会搞挂服务，拉取过程也没问题。

内容的提问来源于stack exchange，提问作者mrdaliri