Управление http-доступом к репозиториям git с помощью gitosis

Gitosis использует gitweb для публикации репозиториев по протоколу http.

У вас должен быть запущен gitweb.

Убедитесь, что gitweb установлен. Ваш gitweb.conf должен выглядеть так:

# Location of the git binary
$GIT = "/usr/bin/git";

# Project root for gitweb
$projectroot = "/srv/git/repositories";

$stylesheet = "/gitweb.css";
$logo = "/git-logo.png";
$favicon = "/git-favicon.png";

# Site name
$site_name = "My site";

# URL formatting
#$my_uri = "http://git.somewhere.net/";
#$home_link = $my_uri;

# Base URL for project trees
@git_base_url_list = ("ssh://git\@somewhere.net");

# Length of the project description column in the webpage.
$projects_list_description_width = 50;

# Which repos are allowed to export
$export_ok = "git-daemon-export-ok";

# Enable PATH_INFO so the server can produce URLs of the
# form: http://git.hokietux.net/project.git/xxx/xxx
$feature{'pathinfo'}{'default'} = [1];

# Enable blame, pickaxe search, snapshop, search, and grep
$feature{'blame'}{'default'} = [1];
$feature{'blame'}{'override'} = [1];

$feature{'pickaxe'}{'default'} = [1];
$feature{'pickaxe'}{'override'} = [1];

$feature{'snapshot'}{'default'} = [1];
$feature{'snapshot'}{'override'} = [1];

$feature{'search'}{'default'} = [1];

$feature{'grep'}{'default'} = [1];
$feature{'grep'}{'override'} = [1];

Пример конфигурации gitweb в apache:

Alias /gitweb/gitweb.css /usr/share/gitweb/gitweb.css
Alias /gitweb/git-logo.png /usr/share/gitweb/git-logo.png
Alias /gitweb/git-favicon.png /usr/share/gitweb/git-favicon.png
ScriptAlias /gitweb /usr/lib/cgi-bin/gitweb.cgi
<Directory /usr/share/gitweb>
  Options FollowSymLinks +ExecCGI
  AddHandler cgi-script .cgi
</Directory>
<Location /gitweb>
    Order allow,deny
    Allow from all
    #AuthType Basic
    #AuthName "GITOLITE"
    #AuthUserFile /etc/apache2/gitweb.htpasswd
    #Require valid-user
</Location>
# Securing with users example
<Location /gitweb/SomethingToHide.git>
        Require user myusername
</Location>

Я перешел на гитолит, потому что ...

• легче использовать
• у него больше возможностей (безопасность, группировка и т. д.)

Проблема в том, что вы не можете ограничить доступ к клонированию с http: //, потому что Apache обрабатывает эти запросы напрямую. Я разработал решение, используя git-хуки и права доступа к файлам.

У меня есть сервер Redmine / Gitosis / Gitweb, настроенный в среде общего хостинга, в которой пользователь Apache не пользователь гитозиса. По умолчанию Apache не имеет доступа к моим репозиториям, потому что gitosis создает их с 750 разрешениями. У меня есть gitosis, успешно заполняющий свой projects.list для gitweb в /home/xdgit/gitosis/projects.list, который содержит имена всех репозиториев, которые должны считаться общедоступными. Я изменил свой хук gitosis-admin.git / hooks / post-update, чтобы он содержал следующее:

#!/bin/sh
set -e
gitosis-run-hook post-update
git-update-server-info

# Find repo root from ENV or current dir
GIT_DIR=$(git rev-parse --git-dir 2>/dev/null)
if [ -z "$GIT_DIR" ]; then
    echo >&2 "fatal: post-receive: GIT_DIR not set"
    exit 1
fi

# Process permissions for each repo
for f in $GIT_DIR/../*.git
do
    # Look for the repo name in projects.list
    if grep -q `basename $f` /home/xdgit/gitosis/projects.list
        then chmod o+rx $f
        else chmod o-rx $f
    fi
done

Теперь всякий раз, когда я нажимаю что-либо на gitosis-admin.git (например, изменение gitosis.conf, чтобы разрешить публичный доступ к репозиторию), ловушка после обновления автоматически изменяет разрешения репозитория, чтобы разрешить или запретить публичный доступ, в зависимости от того, название репо появляется в projects.list. Поскольку фиктивные клиенты требовать фактические репозитории должны быть доступны Apache напрямую, это управление доступом на основе разрешений является идеальным решением - даже Apache не может получить доступ к репозиториям, которые не являются общедоступными.

Я также разработал решение mod_rewrite / mod_setenvif, которое обнаруживало наличие файла git-daemon-export-ok в репозитории, разрешая доступ при необходимости. Это сработало, но потребуются дополнительные меры предосторожности, чтобы явно запретить доступ в непубличные репозитории, если они доступны для чтения Apache (что должно быть). Это оказалось огромной головной болью, и в моем случае (поскольку права доступа к файлам все равно пришлось бы изменить) это было крайним излишеством. Надеюсь это поможет.