git分支本身不提供租户隔离，真正实现多租户互不干扰需依赖工作空间、配置、路径和权限四层机制；git worktree提供轻量级分支物理隔离，配合git_dir/git_work_tree环境变量、租户专属.gitconfig、bind mount挂载及路由+权限双控，方可达成完整租户级隔离。
多租户开发环境里，Git 分支本身不提供租户隔离能力——git checkout 切换的是本地仓库状态，不是租户上下文。真正要解决的，是「如何让不同租户（或团队、用户）在共享 Git 服务或开发机时，互不干扰地操作各自分支」。核心不在分支命名规范，而在工作空间、配置、路径和权限这四层路由与隔离机制。
git worktree 是最轻量级的分支物理隔离手段
当多个功能并行开发（比如 tenant-a 的 feature/auth 和 tenant-b 的 hotfix/db-perf），用 git checkout 切来切去容易污染暂存区或覆盖未提交修改。git worktree 直接为每个分支创建独立目录，天然支持租户级工作空间分离：
- 每个
worktree目录拥有完整工作区 + 独立 index，互不影响 - 可搭配
GIT_DIR+GIT_WORK_TREE环境变量，在脚本或 CI 中显式绑定租户上下文 - 注意：
git worktree add不会自动设置 remote 或 upstream，需手动git -C /path/to/worktree branch --set-upstream-to=origin/branch-name branch-name - 删除前必须先
git worktree remove，直接rm -rf会导致主仓库记录残留，后续git worktree prune才能清理
环境变量驱动的租户级 Git 配置隔离
共享开发机上，不同租户若共用同一 ~/.gitconfig，user.name、core.editor、凭证等极易冲突。Git 支持运行时覆盖配置，关键在于让每个租户启动时加载专属配置：
- 设置
GIT_CONFIG_GLOBAL指向租户专属配置文件，例如export GIT_CONFIG_GLOBAL=/home/tenant-a/.gitconfig - 配合
GIT_DIR和GIT_WORK_TREE，确保所有 Git 命令作用域严格限定在租户路径内 - 避免使用
git config --global，改用git -c user.name="Tenant A Dev" -c core.editor=vim commit这类临时覆盖方式 - 注意：某些工具（如 VS Code 的 Git 插件）可能忽略环境变量，需在设置中显式指定
git.path和git.autoSetupGitConfig关闭自动配置
Docker 容器内 Git 工作树挂载必须用 bind mount，不能用 volume
CI/CD 或本地调试中，常把 Git 工作目录挂进容器。但若用 Docker volume，数据会持久化到匿名卷，跨租户复用时易混入旧分支状态；而 bind mount 能精确控制宿主机路径，实现租户粒度的隔离：
- 正确做法：
docker run -v $(pwd)/tenant-a-worktree:/workspace:Z app-image - 错误做法：
docker run -v tenant-a-data:/workspace app-image—— volume 名称不体现租户，且无法保证内容纯净 - 务必加
:Z（SELinux）或:rw（普通 Linux），否则容器内 Git 可能因权限不足无法写入 index 或 .git/config - 构建镜像时不要
COPY . /workspace整个仓库，否则不同租户的构建会复用同一层缓存，导致分支信息泄漏
GitBucket/Gitea 等托管平台的租户路由本质是路径+权限双控
像 GitBucket 用 GITBUCKET_HOME、Gitea 用组织（Organization）做隔离，表面看是 URL 路由（如 /tenant-a/repo），实际生效靠两件事：一是请求路径映射到独立数据目录，二是权限校验拦截跨租户访问。漏掉任一环节都会失效：
-
GITBUCKET_HOME=/data/tenant-a/.gitbucket只管数据落盘位置，不防用户手动构造 URL 访问/tenant-b/repo—— 必须配合后端路由中间件做路径前缀校验 - Gitea 的组织私有性（
visibility = private）仅控制列表可见性，对已知 URL 的直接访问仍需repo.Read权限检查，否则可绕过 - 反向代理（如 Nginx）不能只做
location /tenant-a/转发，必须透传租户标识（如 headerX-Tenant-ID: tenant-a）给后端做二次鉴权 - 日志里若没记录
tenant_id字段，审计时根本分不清哪次 push 属于哪个租户
真正的分支路由不是靠 Git 自身，而是靠你如何把分支、租户、路径、配置、权限这几层粘合起来——漏掉任意一层，隔离就只剩表象。
