如何检测 git 中的恶意合并？

我创建了一个简单的 git 存储库来说明我的问题，可在 GitHub 上找到：https://github.com/smileyborg/EvilMerge https://github.com/smileyborg/EvilMerge

这是回购历史的说明：

master          A---B---D---E-----G-----I
                 \     /     \         /
another_branch    ----C       \       /
                               \     /
another_branch2                 F---H

（在 GitHub 上的实际存储库中，D is 4a48c9, and I is 48349d.)

D是一个“简单”的邪恶合并，其中合并提交“正确”解决了合并冲突，但也进行了父级中不存在的不相关的“邪恶”更改。通过使用可以发现此合并的“邪恶”部分git show -c在此提交上，因为输出包括++ and --（相对于单个+ and -）来指示父级中不存在的更改（请参阅这个答案 https://stackoverflow.com/a/12615932/796419用于上下文）。

I是一种不同类型的邪恶合并，其中合并提交“正确”解决了合并冲突（由来自F to file.txt与变化相冲突G），但也“邪恶地”放弃对完全不同的文件所做的更改file2.txt（有效地撤消来自H).

你怎么知道I是邪恶的合并？换句话说，您可以使用什么命令来发现I不仅手动解决了冲突，而且还未能合并应有的更改？

编辑/更新：什么是邪恶合并？

正如所指出的雷内·林克 https://stackoverflow.com/a/27687577/796419下面，很难（也许不可能）定义一组通用标准来识别“邪恶合并”。然而，很像最高法院法官斯图尔特谈到色情内容 http://en.wikipedia.org/wiki/I_know_it_when_I_see_it，邪恶合并是一看就知道的事情。

所以也许更好的问题是：您可以在合并提交上使用哪些 git 命令来获取仅在合并提交本身中引入的所有新颖更改的差异输出。这个差异应该包括：

• 所有合并冲突解决方案（至少，如果解决方案涉及比选择一个父级的更改而不是另一个父级的更改更复杂的内容）
• 父级中不存在的所有添加或删除（如D)
• 父项之一中确实存在但合并提交丢弃的所有更改（如I)

这里的目标是能够让人查看此输出并知道合并是否成功或（意外或恶意）“邪恶”without必须重新审查所有先前审查的更改（例如F and H）正在合并中集成。

最简单的方法是将冲突解决的结果与无需人工干预即可自动解决冲突的合并进行比较。任何自动解决方案都将被忽略，因为它们将以完全相同的方式解决。

我看到了两种可视化可能的“邪恶”解决方案的方法。如果您要将其制作成脚本，请添加&> /dev/null到您不关心看到输出的所有行的末尾。

1)使用两个单独的差异，一个有利于第一个父级，另一个有利于第二个父级。

MERGE_COMMIT=<Merge Commit>
git checkout $MERGE_COMMIT~
git merge --no-ff --no-edit -s recursive -Xours $MERGE_COMMIT^2
echo "Favor ours"
git diff HEAD..$MERGE_COMMIT
git checkout $MERGE_COMMIT~
git merge --no-ff --no-edit -s recursive -Xtheirs $MERGE_COMMIT^2
echo "Favor theirs"
git diff HEAD..$MERGE_COMMIT

2)与冲突合并的结果进行比较，但冲突仍然存在。

MERGE_COMMIT=<Merge Commit>
git checkout $MERGE_COMMIT~
git -c merge.conflictstyle=diff3 merge --no-ff $MERGE_COMMIT^2 --no-commit
git add $(git status -s | cut -c 3-)
git commit --no-edit
git diff HEAD..$MERGE_COMMIT