git本地配置文件.git/config不支持加密或锁定，仅依赖操作系统文件权限；其纯文本特性决定所有git命令均可直接读取，真正防护需靠os层权限控制与安全实践。
Git 本地配置文件（.git/config）本身不支持“限制访问权限”这一操作——它只是普通文本文件，权限控制完全依赖操作系统层面的文件系统权限，Git 自身无内置鉴权机制。
为什么不能用 git config --local 加密或锁定配置
Git 的 git config --local 命令只读写 .git/config 文件，该文件没有加密、签名、访问控制列表（ACL）或密码保护能力。它和 ls -l .git/config 显示的权限位（如 -rw-r--r--）完全一致，Git 不会校验谁在读它、是否被篡改、是否越权修改。
- Git 启动时直接 fopen() 读取该文件，不调用任何认证逻辑
- 即使你把
.git/config设为600（仅属主可读写），其他用户若能以你的身份执行命令（如通过 sudo、crontab、CI runner 环境），仍可修改 - 不存在
git config --local --lock或类似参数
真正有效的文件系统级权限收紧方式
如果你的目标是防止非授权用户/进程修改当前仓库的配置（例如 CI 环境中防误覆盖 remote 地址），需靠 OS 层控制：
Conventional Git
下载
Conventional Commits v1.0.0 分支、工作树命名及提交信息规范，适用于 GitHub 与 GitLab 项目，用于创建分支和命名工作树等场景。
- 确保
.git目录属主为可信用户：chown -R $USER:$USER .git - 禁止组和其他人写入：
chmod -R go-w .git（特别注意.git/config和.git/hooks/） - 对敏感仓库，可设为不可执行 + 不可遍历：
chmod 700 .git（但部分 Git 操作可能报错，需实测） - 在 Linux/macOS 上，可用
chattr +i .git/config设置不可变标志（需 root 权限，且会阻断所有 git config 写入，包括你自己）
哪些场景下你以为需要“限制配置访问”，其实该换思路
多数真实需求并非锁死 .git/config，而是防止配置被意外覆盖或泄露：
-
CI/CD 中远程地址被覆盖：不要在脚本里反复
git config --local remote.origin.url，改用git -c remote.origin.url=xxx fetch临时覆盖 -
多用户共享开发机时防冲突：避免共用同一工作目录；每人 clone 独立副本，用
--shared或 bare repo 做中央同步点 -
敏感 token 写进 config：绝对不要把 token、密码存进
.git/config（哪怕http.extraheader）；改用git-credential-store或git-credential-manager，它们走系统密钥环
容易被忽略的关键点
.git/config 是纯文本，且 Git 所有子命令（包括 git pull、git push）都会主动读它——只要进程有文件读权限，就等于暴露了所有配置项。真正的防线不在 Git 命令侧，而在目录归属、umask 设置、容器挂载权限、以及是否允许未授权用户登录宿主机。
