前言：权限不是束缚， 而是自由的护栏

代码库的平安已经不再是“事后补救”的选项。Debian 上跑的 GitLab， 如果没有一套清晰、可落地的权限治理方案，最怕的就是“谁改了什么都不知道”。 结果你猜怎么着？ 本文把多年实战经验揉进文字里 用 HTML 标签 编排，让搜索引擎爱它，也让你的同事读得舒心。

一、 先从系统层面筑起防火墙——用户、组与文件系统权限

1. 为 GitLab 专设系统账户和专属组

GitLab 默认会使用名为 git 的系统用户运行所有服务。务必在 Debian 上保持这一隔离，否则升级或插件安装时极易出现「权限冲突」导致服务不可用，不妨...。

# 创建专用用户
sudo adduser --system --shell /bin/bash --group --disabled-login git
# 检查 UID/GID， 确保 1001/1001，后续目录所有权统一使用它
id git

2. 数据目录 & 日志目录的所有权与访问位设置

GitLab 数据默认存于 /var/opt/gitlab，日志在 /var/log/gitlab。下面这段命令是每个管理员必背的口诀：，简单来说...

# 确保所有文件归属 git:git
sudo chown -R git:git /var/opt/gitlab
sudo chown -R git:git /var/log/gitlab
# 权限：750 → 用户读写施行， 组只读施行，其他无权
sudo chmod -R 750 /var/opt/gitlab
sudo chmod -R 750 /var/log/gitlab

💡 小技巧：如果你计划让备份脚本以 root 身份读取数据，只需要在备份脚本中临时 sudo -u git tar …避免直接放宽目录权限。

3. 为团队成员预留「业务」用户组

在 Debian 中， 你可以再建一个叫 devteam 的本地组，把所有开发者都加入进去。这样即使以后要迁移到 LDAP，只需要把 LDAP 同步到本地组即可，一键同步全员访问。

# 创建业务组并添加成员
sudo groupadd devteam
sudo usermod -aG devteam alice
sudo usermod -aG devteam bob

二、 GitLab 内部角色划分——从全局到项目细粒度控制

1. 全局角色：Owner、Maintainer、Developer…

Owner → Maintainer → Developer → Reporter → Guest → Minimal Access，开搞。

*星星点点* 每个角色背后都有明确的 API 权限集合，切记不要随手把 Owner 给到新人， 说实话... 否则“一键删库”将不再是梦魇而是现实。

2. 命令行利器：gitlab-cli 与 gitlab-rake 快速批量授予角色 🚀🚀🚀     💥💥💥  👾👾👾  🤖🤖🤖   ⭐⭐⭐   ⚡⚡⚡    　　💧💧💧       🔥🔥🔥     📦📦📦            



 在大型团队里手动点选太慢？下面两条命令帮你一次性完成上百人授权：

# 添加单个用户至某组
sudo gitlab-cli group add-user groupname username
# 批量创建用户并直接赋予 Developer 角色
while IFS=',' read -r email name password; do
    sudo gitlab-cli user create "$email" "$password" --name "$name"
    sudo gitlab-cli project member add mygroup/myproject "$email" developer
done 

如果你更倾向于 Ruby 环境， 也可以直接进入 Rails 控制台：

# 打开 Rails 控制台
sudo gitlab-rails console
# 示例：为项目 “awesome-app” 添加 Bob 为 Maintainer
user = User.find_by_email
project = Project.find_by_path
project.add_user
exit

三、项目级别细粒度控制——保护关键分支不被随意推送 📂🔒✨　　⬇⬇⬇⬇⬇⬇⬇⬇⬇⬇⬇⬇ ⬆ ⬆ ⬆ ⬆ ⬆ ⬆ ⬆ ⬆ ⬆ ⬆ 👁️👁️👁️👁️👁️ 👓👓👓 👓 👓 👓 👓 👁 👁 👁    

A. 设置受保护分支

•   *规则*: 只能由 Maintainer 或拥有特定 “Merge” 权限的人合并；禁止直接 push。
•   *实现*:
•   
•   打开项目 → Settings → Repository → Protected branches → 输入分支名 → 勾选 “Allowed to merge” 与 “Allowed to push”。建议默认只允许 Owner/Maintainer 合并。
.
•    若要统一为所有项目设置，可通过 API 批量创建规则：
.
•   

  # 使用 curl 调用 GitLab API 
  curl --header "PRIVATE-TOKEN: $TOKEN" \
       --data "name=main&merge_access_level=40&push_access_level=30" \
       "https://git.example.com/api/v4/projects/:id/protected_branches"
       # merge_access_level 40=Maintainers, push_access_level 30=Developers+Maintainers 
       # 请自行替换 :id 为项目 ID 
       # Token 建议使用 admin token 并限制 IP 
       # 🚨 注意！误操作会导致所有人无法 push 主干，请先在测试环境验证！ 
      ​‌‌‌‌​​​​​​​​​​​⁢⁢⁢⁢⁢⁢⁢⁢ ⁣⁣⁣⁣⁣⁠⁠⁠⁠⁠⁠⁠⁠  
  
  TIPS: 开启 “Code Owner Approval” 后 即便是 Maintainer，也必须经过指定 Code Owner 的审查才能合并，这对关键模块尤为重要。
  
  **注意**：以上截图仅作演示，请勿直接复制粘贴路径。
  ### B. 合并请求模板与审批流
  
  - 在仓库根目录添加 `.gitlab/merge_request_templates` 文件夹， 并放入常用 MR 模板，如 `feature.md`、`bugfix.md`。
  - 在 **Settings ➜ General ➜ Merge request templates** 中勾选对应路径，使每次新建 MR 时自动弹出模板框。
  - 配置 **Approval Rules**：要求至少两位 Senior Engineer 审批后方可合并；对平安相关仓库进一步加上 **Security Approval**。
  - 若团队采用 **GitOps** 流程， 可结合 **Protected Environments** 限制生产环境部署，仅允许 DevOps 团队通过 CI 自动化触发部署。
  ### C️⃣ 常见错误码速查表