Crear un script de ganchos de pre-recepción

Puede ver ejemplos de enlaces de recepción previa para GitHub Enterprise Server en el repositorio github/platform-samples.

Escribir un script de ganchos de pre-recepción

Un script de gancho de pre-recepción se ejecuta en un ambiente de gancho de pre-recepción en your GitHub Enterprise Server instance. Cuando creas un script de gancho de pre-recepción, considera las entradas, resultados, estado de salida y variables de ambiente.

Entrada (stdin)

Después de que tenga lugar un envío de cambios y antes de que se actualice cualquier referencia para el repositorio remoto, el proceso git-receive-pack en your GitHub Enterprise Server instance invoca el script de enlace de recepción previa. La entrada estándar para el script, stdin, es una cadena que contiene una línea para cada referencia que se va a actualizar. Cada línea contiene el nombre anterior del objeto para la referencia, el nombre nuevo del objeto para la referencia, y el nombre completo de la referencia.

<old-value> SP <new-value> SP <ref-name> LF

Esta secuencia representa los siguientes argumentos.

Para obtener más información sobre git-receive-pack, consulte "git-receive-pack" en la documentación de Git. Para obtener más información sobre las referencias, consulte "Referencias de Git" en Pro Git.

Salida (stdout)

La salida estándar del script, stdout, se devuelve al cliente. El usuario podrá ver cualquier instrucción de tipo echo en la línea de comandos o la interfaz de usuario.

Estado de salida

El estado de salida de un script de pre-recepción determina si la subida se aceptará.

Variables de entorno

Además de la entrada estándar del script de enlace de recepción previa, stdin, GitHub Enterprise Server pone a disposición las siguientes variables en el entorno Bash para la ejecución del script. Para obtener más información sobre el stdin script de enlace de recepción previa, consulte "Entrada (stdin)".

Hay diversas variables de ambiente disponibles para tu script de gancho de pre-recepción dependiendo de lo que active a dicho script para su ejecución.

• Siempre disponible
• Disponible para envíos de cambios desde la interfaz web o API
• Disponible para combinaciones de solicitudes de incorporación de cambios
• Disponible para envíos de cambios mediante autenticación por SSH

Siempre está disponible

Las siguientes variables siempre están disponibles en el ambiente de gancho de pre-recepción.

$GIT_DIR

$GIT_PUSH_OPTION_COUNT

$GIT_PUSH_OPTION_N

$GIT_USER_AGENT

$GITHUB_REPO_NAME

$GITHUB_REPO_PUBLIC

$GITHUB_USER_IP

$GITHUB_USER_LOGIN

Disponible para subidas desde la interface web o API

La variable $GITHUB_VIA se encuentra disponible en el entorno del enlace de recepción previa cuando la actualización de la referencia que activa el enlace ocurre desde la interfaz web o la API para GitHub Enterprise Server. El valor describe la acción que actualizó la referencia.

auto-merge deployment api

blob#save

branch merge api

branches page delete button

git refs create api

git refs delete api

git refs update api

git repo contents api

Disponible para las fusiones de solicitudes de cambio

Las siguientes variables se encuentran disponibles en el ambiente de gancho de pre-recepción cuando la subida que activa el gancho se debe a la fusión de una solicitud de cambios.

$GITHUB_PULL_REQUEST_AUTHOR_LOGIN

$GITHUB_PULL_REQUEST_HEAD

$GITHUB_PULL_REQUEST_BASE

Disponible para las subidas utilizando autenticación por SSH

$GITHUB_PUBLIC_KEY_FINGERPRINT

Establecer permisos y subidas a un ganchos de pre-recepción para GitHub Enterprise Server

Un script de gancho de pre-recepción se contiene en un repositorio de your GitHub Enterprise Server instance. Un administrador del sitio debe tener en cuenta los permisos del repositorio y garantizar que solo los usuarios correspondientes tengan acceso.

Recomendamos los ganchos de consolidación a un solo repositorio. Si el repositorio del enlace consolidado es público, puede usar README.md para explicar la aplicación de políticas. Además, las contribuciones pueden aceptarse mediante solicitudes de extracción. Sin embargo, los ganchos de pre-recepción solo pueden agregarse desde la rama por defecto. Para un flujo de trabajo de prueba, se deben usar las bifurcaciones del repositorio con la configuración.

1. Para usuarios de Mac, asegúrate de que los scripts tengan permisos de ejecución:

   $ sudo chmod +x SCRIPT_FILE.sh

   Para usuarios de Windows, asegúrate de que los scripts tengan permisos de ejecución:

   git update-index --chmod=+x SCRIPT_FILE.sh

2. Confirma y sube al repositorio designado para los ganchos de pre-recepción en your GitHub Enterprise Server instance.

   $ git commit -m "YOUR COMMIT MESSAGE"
   $ git push

3. Cree el enlace de recepción previa en la instancia de GitHub Enterprise Server.

Probar scripts de pre-recepción localmente

Puedes probar un script de gancho de pre-recepción localmente antes de que lo crees o actualices en your GitHub Enterprise Server instance. Un método es crear un entorno de Docker local para que actúe como un repositorio remoto que pueda ejecutar el gancho de pre-recepción.

1. Asegúrese de que Docker está instalado localmente.

2. Cree un archivo denominado Dockerfile.dev que contenga:

   FROM gliderlabs/alpine:3.3
   RUN \
     apk add --no-cache git openssh bash && \
     ssh-keygen -A && \
     sed -i "s/#AuthorizedKeysFile/AuthorizedKeysFile/g" /etc/ssh/sshd_config && \
     adduser git -D -G root -h /home/git -s /bin/bash && \
     passwd -d git && \
     su git -c "mkdir /home/git/.ssh && \
     ssh-keygen -t ed25519 -f /home/git/.ssh/id_ed25519 -P '' && \
     mv /home/git/.ssh/id_ed25519.pub /home/git/.ssh/authorized_keys && \
     mkdir /home/git/test.git && \
     git --bare init /home/git/test.git"
   
   VOLUME ["/home/git/.ssh", "/home/git/test.git/hooks"]
   WORKDIR /home/git
   
   CMD ["/usr/sbin/sshd", "-D"]
   

3. Cree un script de recepción previa de prueba denominado always_reject.sh. Este script del ejemplo rechazará todas las subidas, lo cual es útil para bloquear un repositorio:

   #!/usr/bin/env bash
   
   echo "error: rejecting all pushes"
   exit 1
   

4. Asegúrese de que los scripts always_reject.sh tengan permisos de ejecución:

   $ chmod +x always_reject.sh

5. Desde el directorio que contiene Dockerfile.dev, compile una imagen:

   $ docker build -f Dockerfile.dev -t pre-receive.dev .
   > Sending build context to Docker daemon 3.584 kB
   > Step 1 : FROM gliderlabs/alpine:3.3
   >  ---> 8944964f99f4
   > Step 2 : RUN apk add --no-cache git openssh bash && ssh-keygen -A && sed -i "s/#AuthorizedKeysFile/AuthorizedKeysFile/g"  /etc/ssh/sshd_config && adduser git -D -G root -h /home/git -s /bin/bash && passwd -d git && su git -c "mkdir /home/git/.ssh && ssh-keygen -t ed25519 -f /home/git/.ssh/id_ed25519 -P ' && mv /home/git/.ssh/id_ed25519.pub /home/git/.ssh/authorized_keys && mkdir /home/git/test.git && git --bare init /home/git/test.git"
   >  ---> Running in e9d79ab3b92c
   > fetch http://alpine.gliderlabs.com/alpine/v3.3/main/x86_64/APKINDEX.tar.gz
   > fetch http://alpine.gliderlabs.com/alpine/v3.3/community/x86_64/APKINDEX.tar.gz
   ....truncated output....
   > OK: 34 MiB in 26 packages
   > ssh-keygen: generating new host keys: RSA DSA ECDSA ED25519
   > Password for git changed by root
   > Generating public/private ed25519 key pair.
   > Your identification has been saved in /home/git/.ssh/id_ed25519.
   > Your public key has been saved in /home/git/.ssh/id_ed25519.pub.
   ....truncated output....
   > Initialized empty Git repository in /home/git/test.git/
   > Successfully built dd8610c24f82

6. Ejecutar un contenedor de datos que contiene una clave SSH generada:

   $ docker run --name data pre-receive.dev /bin/true

7. Copie el enlace always_reject.sh de recepción previa de prueba en el contenedor de datos:

   $ docker cp always_reject.sh data:/home/git/test.git/hooks/pre-receive

8. Ejecute un contenedor de la aplicación que ejecute sshd y ejecute el enlace. Toma nota del id del contenedor que se devolvió:

   $ docker run -d -p 52311:22 --volumes-from data pre-receive.dev
   > 7f888bc700b8d23405dbcaf039e6c71d486793cad7d8ae4dd184f4a47000bc58

9. Copilar la clave SSH generada desde el contenedor de datos hasta la máquina local:

   $ docker cp data:/home/git/.ssh/id_ed25519 .

10. Modifique el repositorio remoto de un repositorio de prueba e insértelo en el repositorio test.git dentro del contenedor de Docker. En este ejemplo se usa git@github.com:octocat/Hello-World.git, pero puede usar cualquier repositorio que desee. Este ejemplo asume que tu máquina local (127.0.01) es el puerto vinculante 52311, pero puedes usar una dirección IP diferente si el docker está ejecutándose en una máquina remota.

    $ git clone git@github.com:octocat/Hello-World.git
    $ cd Hello-World
    $ git remote add test git@127.0.0.1:test.git
    $ GIT_SSH_COMMAND="ssh -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no -p 52311 -i ../id_ed25519" git push -u test main
    > Warning: Permanently added '[192.168.99.100]:52311' (ECDSA) to the list of known hosts.
    > Counting objects: 7, done.
    > Delta compression using up to 4 threads.
    > Compressing objects: 100% (3/3), done.
    > Writing objects: 100% (7/7), 700 bytes | 0 bytes/s, done.
    > Total 7 (delta 0), reused 7 (delta 0)
    > remote: error: rejecting all pushes
    > To git@192.168.99.100:test.git
    >  ! [remote rejected] main -> main (pre-receive hook declined)
    > error: failed to push some refs to 'git@192.168.99.100:test.git'

    Observa que la subida fue rechazada después de ejecutar el ganchos de pre-recepción y de hace eco la salida del script.

Información adicional

• "Personalización de Git: ejemplo de directiva de Git-Enforced" del sitio web de Pro Git