避免让 subversion 修改 Linux 文件权限。

Question

我的所有代码库都存储在一个 subversion 存储库中，我将该存储库分散在负载平衡的 Apache Web 服务器中，从而可以轻松检查代码、运行更新以及无缝地将开发中的代码转移到生产中。

我确信有一个简单的解决方法（除了在每次签出时执行脚本之外）的不便之处之一是在使用 subversion 更新或签出的文件上获取（返回）Linux 权限集。我们的安全团队已在 httpd.conf 文件中设置 Owner 和 Group，以及 documentRoot< 中的所有目录/code> 接收 700 权限，所有非可执行文件（例如 *.php、*.smarty、*.png）接收 Linux 权限 600，所有可执行文件接收 700（例如 *.sh、*.pl、*. py）。所有文件的所有者和组必须设置为 apache:apache 才能被 httpd 服务读取，因为只有文件所有者被设置为可以通过权限进行访问。

每次我运行 svn update 或 svn co 时，即使可能未创建文件（即 svn update），我也会发现文件的所有权被设置为运行 svn 命令的帐户，并且通常情况下，文件权限被设置为不同于最初的权限（即更新前的 .htm 文件为 600，但在svn update之后，它被设置为755，甚至777）。

绕过 Subversion 更新文件权限和所有权的尝试的最简单方法是什么？是否可以在svn客户端内或Linux服务器上做一些事情来保留原始文件权限？我正在运行 RHEL5（现在在一些选定的实例上运行 6）。

Answer 1

文件的所有者将被设置为运行 svn 命令的用户，因为它如何实现底层 up 命令 - 它删除并替换更新的文件，这将导致所有权“更改”到相关用户。防止这种情况的唯一方法是以文件所属的用户身份实际执行 svn up。如果您想确保它们由特定用户拥有，请以该用户身份运行该命令。

关于权限，svn 仅遵循帐户的 umask 设置 - 可能类似于 066 - 为了确保组和其他帐户无法访问该文件，您需要在执行 svn 之前发出“umask 077” up，这确保只有发出命令的用户帐户才能访问这些文件。

我会注意将颠覆数据部署到 Web 服务器的安全问题，除非 .svn 目录受到保护。

Answer 2

您可以在 Subversion 中存储文件的属性（请参阅 http://svnbook.red- bean.com/en/1.0/ch07s02.html）。您对 svn:executable 属性特别感兴趣，它将确保存储可执行权限。

不过，没有通用的方法可以对所有权限执行此操作。 Subversion 也不存储所有权 - 它假设，如果您签出某些内容，您就拥有它。

Answer 3

你可以解决这个问题。使用setgid。

1. 您有 apache:apache 正在运行服务器

2. 对所有文件和目录设置组权限。服务器将按其组读取文件

3. 在所有目录上设置setgid - 仅在目录上：在文件上设置此功能具有不同的功能

   示例（“2”是 setgid）：

   chmod 2750

4. 将 apache 设为所有目录的组

发生的情况是

• 由 < 创建的新文件和目录strong>任何帐户将归apache组所有

• 新目录将继承setgid，从而毫不费力地保留结构

即可查看https://en.wikipedia.org/wiki/Setuid#setuid_and_setgid_on_directories

Answer 4

您可能会考虑做的一件事是在路径之外安装 svn 二进制文件，并在路径中放置一个替换脚本（位于并称为 /usr/bin/svn 或其他）小路。该脚本看起来像这样：

#!/bin/sh

# set umask, whatever else you need to do before svn commands

/opt/svn/svn $* # pass all arguments to the actual svn binary, stored outside the PATH

# run chmod, whatever else you need to do after svn commands

一个明显的缺点是您可能必须对传递给 svn 的参数进行一些解析，即这样您就可以将相同的路径传递给 chmod，而不是为大多数 svn 命令运行 chmod等等。

这里可能还存在一些安全考虑。我不知道您的部署环境是什么样的，但您可能应该进一步调查一下。

Answer 5

我编写了一个小脚本，用于存储权限和所有者、执行 SVN 命令并恢复权限和所有者。
它可能不是防黑客的，但对于私人用途来说它可以完成工作。

svnupdate.sh：

#!/usr/bin/env bash
if [ $# -eq 0 ]; then
    echo "Syntax: $0 <filename>"
    exit
fi

IGNORENEXT=0
COMMANDS=''
FILES='';
for FILENAME in "$@"
do
    if [[ $IGNORENEXT > 0 ]]; then
        IGNORENEXT=0
    else
        case $FILENAME in
            # global, shift argument if needed
            --username|--password|--config-dir|--config-option)
            IGNORENEXT=1
            ;;
            --no-auth-cache|--non-interactive|--trust-server-cert)
            ;;
            # update arguments, shift argument if needed
            -r|--revision|--depth|--set-depth|--diff3-cmd|--changelist|--editor-cmd|--accept)
            IGNORENEXT=1
            ;;
            -N|--non-recursive|-q|--quiet|--force|--ignore-externals)
            ;;
            *)
            if [ -f $FILENAME ]; then
                FILES="$FILES $FILENAME"
                OLDPERM=$(stat -c%a $FILENAME)
                OLDOWNER=$(stat -c%U $FILENAME)
                OLDGROUP=$(stat -c%G $FILENAME)
                FILECOMMANDS="chmod $OLDPERM $FILENAME; chown $OLDOWNER.$OLDGROUP $FILENAME;"
                COMMANDS="$COMMANDS $FILECOMMANDS"
                echo "COMMANDS: $FILECOMMANDS"
            else
                echo "File not found: $FILENAME"
            fi
            ;;
        esac
    fi
done
OUTPUT=$(svn update "$@")
echo "$OUTPUT"
if [[ ( $? -eq 0 ) && ( $OUTPUT != Skipped* ) && ( $OUTPUT != "At revision"* ) ]]; then
    bash -c "$COMMANDS"
    ls -l $FILES
fi

Answer 6

我也有类似的问题。
我发现了一个很酷的脚本：asvn (Archive SVN)。

您可以在这里下载：
https://svn.apache.org/repos/asf /subversion/trunk/contrib/client-side/asvn

<前><代码>说明：
Archive SVN (asvn) 将允许记录不支持的文件类型
通常由 svn 处理。目前这包括设备、
符号链接和文件所有权/权限。

每个文件和目录都有一个“file:permissions”属性集
每个目录都有一个“dir:devices”和“dir:symlinks”
记录额外的信息。

使用普通 svn 参数运行此脚本而不是 svn。

此博客条目（帮助我找到脚本）http://jon.netdork.net/2010/06/28/configuration-management-part-ii-setting-up-svn/ 显示了一个简单的用法。