Как безопасно делать git pull на продакшене сайта?
элементарно: его не делают.
современный деплой гораздо сложнее банального git pull. особенно если хочется миграций, сборки ассетов и т.п.
На сервере две папки X и Z с исходниками, они дублируют друг друга. Веб-сервер, например nginx, настраиваем на работу c папкой X, в Z делаем git pull, гоним тесты и всё такое. Если всё ок, меняем конфиг nginx на папку Z и делаем nginx -s reload