根本原因是宝塔计划任务以www用户运行，但该用户缺Git、私钥、全局配置等权限；需手动验证git pull、用绝对路径、配SSH密钥与用户信息、显式指定--git-dir/--work-tree，并处理缓存与权限问题。
Git 自动拉取在宝塔里为什么总不生效
根本原因不是 Git 命令写错了，而是宝塔的「计划任务」默认以 www 用户身份运行，而该用户通常没权限读取私钥、没配置 git 全局用户、甚至压根没装 git（部分精简版系统）。你看到 Permission denied (publickey) 或 fatal: not a git repository，八成卡在这儿。
实操建议：
- 先用终端切到网站根目录，手动执行
git pull，确认能通——这是所有自动化的前提 - 检查
which git输出路径，宝塔计划任务里必须写绝对路径，比如/usr/bin/git，不能只写git - 给
www用户配好 SSH key：用sudo -u www -s切过去，再运行ssh-keygen -t rsa，把公钥加到代码托管平台（GitHub/GitLab/Gitee）的部署密钥里 -
git需要至少配置用户名和邮箱：git config --global user.name "www"和git config --global user.email "www@example.com"
宝塔计划任务里写什么命令才真正拉得到最新代码
不能只写 git pull，因为计划任务不加载用户 shell 环境，~/.ssh/config 和 $PATH 都不可靠。必须显式指定工作目录、SSH agent、Git 路径。
推荐写法（粘贴进宝塔「Shell 脚本」计划任务）：
cd /www/wwwroot/your-site.com && /usr/bin/git --git-dir=.git --work-tree=. pull origin main
说明：
-
--git-dir和--work-tree显式声明 Git 仓库位置，避免因当前目录或子模块引发歧义 - 分支名用
main还是master，取决于你远程仓库的默认分支，别硬写 - 如果用了私有仓库且依赖 SSH key，得在命令前启动 agent：
eval $(ssh-agent) && ssh-add /home/www/.ssh/id_rsa && cd ...（注意ssh-add要提前用www用户执行一次，输入密码后才能免密）
拉下来了但网页没变？静态资源缓存和文件权限问题
Git 拉取成功 ≠ 网站立刻更新。常见静默失败点：前端构建产物没生成、PHP 缓存没清、文件属主变成 root 导致 Nginx 读不了。
关键动作：
- 如果项目含
npm run build或composer install，不能只拉源码——得在git pull后追加构建命令，且确保www用户有对应环境（Node.js/Composer 权限、内存足够） - 拉取后强制重置权限：
chown -R www:www /www/wwwroot/your-site.com，尤其注意storage、runtime、public这类目录 - ThinkPHP/Laravel 等框架常开 OPcache 或配置缓存，加一行
php /www/wwwroot/your-site.com/artisan config:clear（Laravel）或php /www/wwwroot/your-site.com/public/index.php s clear（TP）
Webhook 比计划任务更靠谱，但宝塔不原生支持
定时拉取有延迟（最短1分钟），且浪费资源轮询。用 Webhook 才是正解：代码一推，Git 平台立刻发请求，触发服务器执行脚本。宝塔本身没 Webhook 接口，得自己搭个极简接收端。
最小可行方案（Python Flask 示例）：
from flask import Flask, request
import subprocess
app = Flask(__name__)
@app.route('/webhook', methods=['POST'])
def webhook():
if request.headers.get('X-Gitlab-Event') == 'Push Hook' or \
request.headers.get('X-GitHub-Event') == 'push':
subprocess.run(['bash', '/www/scripts/deploy.sh'])
return 'OK'
然后用宝塔「反向代理」把 /webhook 映射到这个 Flask 服务，并在 GitHub/GitLab 仓库设置 Webhook 地址为 https://your-domain.com/webhook。
注意：
- Flask 服务要用
www用户启动（sudo -u www gunicorn --bind 127.0.0.1:8000 app:app），否则拉取时又权限报错 - Webhook 请求带签名（
X-Hub-Signature-256），生产环境务必校验，否则谁都能触发部署 - 宝塔防火墙默认拦非标准端口，记得放行 Flask 监听的端口（如 8000）
真正的难点不在写脚本，而在于让每一次拉取都稳定落在正确的用户上下文、正确的环境变量、正确的文件状态里。漏掉任意一环，就会出现“日志显示成功，页面还是旧的”这种让人抓头发的情况。
