svn通过pre-commit钩子脚本实现标签只读保护，检查提交路径是否匹配/tags/模式且已存在，仅允许a操作（创建），拒绝u/d/m/r等修改行为，并结合authz权限隔离与自动化流程强化管控。
SVN 本身不支持对已提交的标签（tag）进行“只读保护”，但可通过 pre-commit 钩子脚本，在提交发生前拦截非法修改，从而有效防止历史发布标签被二次提交或覆盖。
识别并锁定标签路径
SVN 的标签本质是普通目录，关键在于约定和强制校验路径。通常团队会将标签放在 /tags/ 下，例如 /tags/v1.2.0。钩子需检查提交路径是否匹配标签模式，并确认该路径下已有内容（即非首次创建）。
- 用正则匹配典型标签路径，如
^/tags/[0-9]+\.[0-9]+\.[0-9]+(/.*)?$或更宽松的^/tags/[^/]+(/.*)?$ - 调用
svnlook dirs-changed -t $TXN $REPOS获取本次提交修改的目录，再用svnlook tree --full-paths -t $TXN $REPOS判断目标路径是否已存在（非空） - 若路径在
/tags/下且已存在，则拒绝提交，除非是首次创建（即路径尚不存在）
区分“创建”与“修改”行为
允许一次性创建标签（如 copy trunk 到 tags），但禁止后续任何变更（包括文件修改、属性设置、重命名、删除等）。钩子需判断本次提交是否为“新增目录”还是“变更已有内容”。
SVN搭建及使用教学视频(布尔教育)
下载
《SVN视频教程》，SVN:全称Subversion，是代码版本管理软件，管理着随时间改变的数据。这些数据放置在一个中央资料档案库 (repository) 中。这个档案库很像一个普通的文件服务器,不过它会记住每一次文件的变动。这样你就可以把档案恢复到旧的版本, 或是浏览文件的变动历史。许多人会把版本控制系統想像成某种“时光机器”。
- 使用
svnlook changed -t $TXN $REPOS解析操作类型：以A开头表示新增（可放行），U、D、M、R等均视为修改（应拒绝） - 特别注意
U（update）可能出现在二进制文件或属性变更中，也要拦截 - 对
/tags/下路径，只要出现非A操作，立即 exit 1 并输出提示，例如：“禁止修改已存在的标签，请使用新版本号创建标签”
增强防护：结合分支策略与权限隔离
钩子是核心防线，但配合仓库权限可进一步降低误操作风险。
- 在
authz文件中，限制普通开发者对/tags/**的写权限，仅允许 release 账户或 CI 系统提交 - 要求所有标签必须通过自动化流程（如 Jenkins）生成，由脚本执行
svn copy并附带规范日志，避免人工直接操作 - 定期审计
/tags/目录的最后修改时间与提交者，发现异常可快速追溯
验证与部署注意事项
钩子脚本需在服务端部署，且对每个仓库独立生效。测试不充分易导致全员提交失败，务必谨慎。
- 先在测试库启用钩子，用不同场景验证：首次创建 tag、修改 tag 内文件、修改 tag 属性、重命名 tag 目录
- 脚本开头加入
set -e和日志记录（如echo "$(date): reject $USER on $PATH" >> /var/log/svn-tag-hook.log），便于排错 - 确保脚本有可执行权限（
chmod +x pre-commit），且运行用户（通常是 svn 或 apache）能调用svnlook
