GitHub 仓库怎么用 Ruleset 保护默认分支

GitHub 仓库可以用 Branch ruleset 统一保护默认分支。最小可用配置是：进入仓库 Settings → Rules → Rulesets，新建分支规则集，把 Default branch 加入目标分支，然后启用“必须通过 Pull Request 合并”“必须通过状态检查”“禁止强制推送”和“限制删除”。

官方地址：https://docs.github.com/repositories/configuring-branches-and-merges-in-your-repository/managing-rulesets

Ruleset 创建后并不会自动覆盖所有分支。真正决定保护范围的是 Target branches，保存前一定要确认其中明确显示 Default branch。

第一步：进入仓库 Rulesets 页面

打开目标仓库，点击顶部 Settings。在左侧栏找到 Code and automation 区域，展开 Rules，再点击 Rulesets。页面右上角选择 New ruleset → New branch ruleset。

如果看不到 Settings 或 New ruleset，通常是当前账号缺少仓库管理权限。组织仓库还可能由组织级规则统一管理，此时应先确认你是否拥有编辑仓库规则的角色。

第二步：创建规则集并锁定默认分支

在 Ruleset Name 中填写清楚用途，例如 Protect default branch。把 Enforcement status 设为 Active。接着展开 Target branches，点击 Add target → Include default branch。

使用 Default branch 目标比手写 main 更稳妥：以后仓库更换默认分支时，规则仍然跟随默认分支语义。若还要保护发布分支，可以继续添加分支名称模式，但不要用过宽的模式误伤临时分支。

第三步：设置合并门槛

在 Branch rules 区域按团队流程启用规则。常用组合如下：

展开 Pull Request 规则后，可设置需要的批准数量，并按团队需要启用代码所有者审批、最后一次提交后的重新审批等选项。状态检查规则应选择真正阻止发布的检查，例如构建、测试或安全扫描；不要把偶发、实验性的任务设成必需检查。

第四步：谨慎配置 Bypass list

Bypass list 用于允许特定角色、团队或应用绕过规则。默认分支的目标是减少例外，因此不要把所有管理员都无条件加入。若自动发布机器人确实需要写入默认分支，优先只添加对应 GitHub App 或受控团队，并选择符合流程的绕过方式。

• 只给必要主体绕过权限，不使用宽泛角色。
• 发布机器人仍应保留审计记录和最小权限。
• 紧急变更需要例外时，先定义谁可操作、何时恢复正常流程。
• 多个规则集同时命中时，规则会叠加，应检查是否存在更严格的组织级规则。

第五步：创建并验收

滚动到页面底部点击 Create。返回 Rulesets 列表后，确认新规则集状态为 Active；进入详情页再次检查 Target branches 显示默认分支，Branch rules 显示预期规则。

验收时可以从一个普通开发分支发起 Pull Request：未达到审批数或必需检查失败时，合并按钮应被阻止；条件全部满足后才允许合并。不要用管理员绕过身份做首次验收，否则可能误以为规则未生效。

常见问题

Ruleset 和经典 Branch protection rule 有什么区别？Ruleset 能集中定义目标、规则、状态和绕过主体，并可与其他规则叠加。已有保护规则不必立刻删除，迁移时先确认命中范围和最终限制。

为什么状态检查列表里找不到某个任务？通常需要该检查最近在仓库中实际运行过，并且名称与工作流上报的一致。先运行一次 Pull Request 工作流，再返回规则设置选择。

为什么管理员还能合并？检查 Bypass list、组织角色以及是否启用了允许绕过的设置。Ruleset 的例外主体应当最小化，并与团队应急流程一致。