颠覆标记和安全

Question

我从头开始设置了一个 SVN 存储库，并使用 SVN 复制命令成功标记了我的一些版本。

我使用了 apache 的 SSPI auth 插件，因此我们的开发人员只需使用他们的网络凭据访问服务器，一切都运行良好。

我创建了一个 AuthZ 授权文件，将我们的开发人员添加到文件中的组中，并授予他们对根目录的写访问权限。 我还授予匿名用户对根目录的只读访问权限。

然后，我使用以下命令锁定 /svn/ 目录： Require-group "CORP\CKAN0BlahBlah"

这有效地限制了安全组中的新开发人员的只读访问权限，直到他们通过 aAuthZ 配置文件获得访问权限。

现在，我有几个问题：

1. 正确的方法是什么（除了 荣誉系统）以防止用户 对任何一项进行更改 “tags”目录？

2. 是否可以使用SSPI来传递 AuthZ 组的成员， 而不是列出成员 单独在配置中 文件？

Answer 1

对于问题#1，我为此开发：

@echo off
SET SVNLOOK=C:\Program Files\CollabNet Subversion Server\svnlook.exe
SET GREP=D:\SVN\Repo\hooks\grep.exe
SET LOG=D:\SVN\Repo Logs.txt

>>"%LOG%" echo ==== commit %1 %2 ====
>>"%LOG%" "%svnlook%" changed -t %2 %1

("%svnlook%" changed -t %2 %1 | "%grep%" "^U.*/tags/") && (echo Cannot commit to tags.>&2 && exit 1)
("%svnlook%" log -t %2 %1 | "%grep%" "[a-zA-Z0-9]") || (echo You must specify a comment.>&2 && exit 1)

exit 0

从 http:// 获取 grep 工具sourceforge.net/projects/unxutils

---

对于问题 #2，答案是否定的，您无法检查 AuthZ 配置文件中的 AD 安全组。

谢谢大家的帮助。

Answer 2

没有“正确”的方法。 标签是一种约定，开发人员应该学习并遵循它。 除此之外，可以使用 Subversion 挂钩来实现故障保护。 请参阅此页面获取不错的教程。

Answer 3

在我看来，这是一个教育和过程的问题。 如果您的开发人员了解 SVN 标记的用途，那么您让人（故意）对标记进行提交的可能性似乎就会小得多。 我发现有效沟通这些流程不可或缺的是最新的书面文档。 我的团队使用 wiki 来存储有关我们流程的文档（具体来说，我们使用 MediaWiki）。 与在共享点中存储版本化的 MS Office 文档之类的方法相比，wiki 方法似乎使事情更容易访问并且更容易保持最新状态。

Answer 4

使用 svn-auth 文件来定义它怎么样？ 这看起来像这样：

[groups]
ADMINS=<your ID>
<rest of groups>=<all other IDs>

[/]
* = r
<rest of groups> = rw
@ADMINS = rw

[/tags]
<rest of groups> = r

这将允许管理员对标签目录进行读写访问，但不允许其他人。 我不知道 SSPI auth 插件，所以也许我提供的示例在您的上下文中不起作用。

Answer 5

1 - 您可以使用预提交挂钩来阻止提交，请参阅 SVN 预提交挂钩，用于避免更改标签子目录。

编辑：要在 Windows 上执行此操作，请尝试以下操作：

将其另存为存储库的 hooks 文件夹中名为 pre-commit.bat 的文件：

@echo off
set REPOSITORY=%1
echo %REPOSITORY% | find /I "tags"
if errorlevel 1 goto done
echo You tried to commit to %REPOSITORY% >&2
echo Committing to tags is not allowed >&2
exit 1
:done

注意，这将阻止提交到包含以下内容的任何存储库路径：子字符串标签。 根据您的需要进行修改。