在服务器上搭建Git仓库是实现代码自动化部署与团队高效协作的核心环节,通过建立“裸仓库”与“钩子脚本”的联动机制，能够构建出一套安全、稳定且自动化的代码交付工作流，彻底解决传统FTP上传覆盖文件导致的各种线上事故，实现开发环境与生产环境的无缝衔接。
核心优势与价值
传统的代码更新方式往往依赖人工上传,存在极高的误操作风险，且无法追溯版本历史，在服务器布置Git，本质上是在生产环境建立一个代码版本控制中心，这不仅赋予了开发者回滚代码的能力，更重要的是通过自动化脚本，将代码拉取、依赖安装、权限修正等步骤标准化，极大提升了运维效率与项目稳定性。
前期环境准备与安全配置
在开始操作之前,必须确保服务器环境满足基本要求，安全配置是重中之重，不可跳过。
-
安装Git工具
以CentOS系统为例，执行命令更新软件源并安装Git。yum install -y git
对于Ubuntu/Debian系统，使用apt-get install -y git。
安装完成后，使用git --version验证安装结果。 -
创建专用管理用户
为了安全起见，严禁使用root用户直接运行Git服务，应创建一个受限用户专门用于Git操作。adduser gitpasswd git
设置强密码，并限制该用户的登录Shell，仅允许其使用Git相关功能，防止通过SSH登录服务器进行其他操作。 -
配置SSH公钥免密登录
这是提升体验的关键步骤，在本地开发机生成SSH密钥对，将公钥id_rsa.pub内容追加到服务器/home/git/.ssh/authorized_keys文件中。
配置完成后，本地与服务器交互将不再需要输入密码，既安全又便捷。
服务器端Git仓库初始化
服务器上的仓库与本地仓库不同,它不需要工作目录，只需要版本控制数据，因此必须初始化为“裸仓库”。
-
创建仓库目录
建议在特定目录下统一管理，例如创建/home/git/repos目录。mkdir -p /home/git/repos/project.git -
初始化裸仓库
进入目录执行初始化命令。cd /home/git/repos/project.gitgit init --bare
裸仓库的特点是没有工作区，仅存储Git历史记录和配置，非常适合作为远程中心仓库。 -
修正目录权限
确保仓库目录的所有者为git用户，否则推送代码时会因权限不足被拒绝。chown -R git:git /home/git/repos
自动化部署钩子配置
这是服务器布置Git最核心、最具价值的环节，通过Git的钩子机制，在代码推送完成后自动触发部署脚本。
-
编辑post-receive钩子
在project.git/hooks/目录下，新建或编辑post-receive文件。vim hooks/post-receive -
编写自动化部署逻辑
脚本的核心逻辑是：检测代码推送 -> 拉取代码到网站根目录 -> 设置权限。
脚本示例内容如下：#!/bin/shGIT_REPO=/home/git/repos/project.gitTMP_GIT_CLONE=/tmp/projectWWW_ROOT=/var/www/html/projectrm -rf $TMP_GIT_CLONEgit clone $GIT_REPO $TMP_GIT_CLONErm -rf $WWW_ROOT/cp -rf $TMP_GIT_CLONE/ $WWW_ROOTrm -rf $TMP_GIT_CLONE
这段脚本将代码先克隆到临时目录，再覆盖到网站根目录，避免了直接在根目录操作可能产生的.git目录权限泄露风险。 -
赋予执行权限
保存退出后，必须赋予脚本执行权限。chmod +x hooks/post-receive
本地连接与推送测试
服务器端配置完毕,回到本地开发环境进行联调。
-
添加远程仓库地址
在本地项目目录下，添加远程仓库别名。git remote add server git@your_server_ip:/home/git/repos/project.git -
推送代码
执行推送命令：git push server master。
若配置无误，终端将显示推送进度，并在几秒内完成。 -
验证部署结果
登录服务器，检查网站根目录/var/www/html/project，文件应当已自动更新为最新版本，至此，一套完整的自动化发布流程构建完成。
高级安全加固策略
在生产环境中,安全是永恒的主题，除了基础的用户权限控制，还需防范潜在的系统漏洞。
-
禁用Shell登录
修改/etc/passwd文件中git用户的Shell环境。
将git:x:1001:1001:,,,:/home/git:/bin/bash修改为git:x:1001:1001:,,,:/home/git:/usr/bin/git-shell。git-shell是Git提供的受限Shell，仅允许执行Git操作，禁止执行常规命令，有效防止通过Git用户提权攻击服务器。 -
限制SSH端口与访问IP
修改SSH配置文件，禁止密码登录，仅允许密钥认证，并限制仅特定IP段可访问服务器SSH端口，从网络层面阻断攻击路径。
常见问题排查与解决方案
在实际运维过程中,可能会遇到推送失败或权限错误，需掌握排查技巧。
-
权限被拒绝
检查SELinux是否开启，若开启需调整安全上下文或暂时设置为Permissive模式测试，同时确认.ssh目录权限应为700，authorized_keys权限应为600。 -
推送卡顿
检查服务器磁盘IO负载，或仓库体积过大导致传输缓慢，建议使用git gc命令清理仓库冗余文件，优化传输效率。
相关问答
问：为什么服务器上要初始化“裸仓库”而不是普通仓库？
答：普通仓库包含工作区和版本库，在服务器上多人协作时，工作区文件容易产生冲突，且服务器通常不需要直接编辑文件，裸仓库仅包含版本数据，没有工作区，体积更小，专门用于存储和分发代码，是服务器端部署的标准做法。
问：如何在不登录服务器的情况下查看部署日志？
答：可以在post-receive钩子脚本中增加日志记录功能，将git log输出重定向到一个日志文件中，或者结合企业微信、钉钉机器人Webhook接口，将部署结果实时推送到群组，实现可视化的部署监控。
如果您在服务器布置Git的过程中遇到其他技术难题,或有更优化的自动化部署方案，欢迎在评论区留言交流。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8%e5%b8%83%e7%bd%aegit%ef%bc%8c%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%80%8e%e4%b9%88%e6%90%ad%e5%bb%bagit%e4%bb%93%e5%ba%93%ef%bc%9f/
