Aby měl někdo read-only přístup je možné, to už jste sám napsal. Aby měl přístup jen přes web nedává smysl, což plyne už z toho, že není jasné, co tím vlastně myslíte. Má mít přístup jen přes webové rozhraní pro prohlížeč? Nebo i přes API? Nebo může i klonovat přes HTTP? Tak jako tak, i ve webovém rozhraní jen pro prohlížeč může vidět všechno, takže nedává smysl to omezovat – stejně by měl přístup k celému repository, jenom trochu komplikovanější.