Hooks, signing và repository security

Client hooks là convenience; server policy và protected refs mới là enforcement boundary.

Hooks và policy

Hooks không clone theo mặc định và client có thể bỏ qua, nên lint local không phải security control. Server-side pre-receive/update kiểm toàn push trước ref update; giới hạn resource và xem input là untrusted.

Signing

GPG/SSH/X.509 signing có thể xác minh key ký commit/tag, nhưng trust phụ thuộc key ownership, revocation và policy. Signed commit không chứng minh CI passed hay code reviewed; build provenance cần lớp riêng.

Threat model

Bảo vệ credentials, config includes, credential helpers, submodule URLs và hooks. safe.directory giảm rủi ro ownership confusion. Không checkout/build code không tin cậy trên runner có secrets. Theo dõi security advisories và cập nhật Git.