GitHub现在可以持久地记录推送每个提交的经过身份验证的用户，并将推送器标识与现有的作者和提交者字段一起在UI和API中显示。提交作者和提交者字段只是推送客户端提供的字符串，因此对存储库具有写入权限的任何人都可以将其设置为自己选择的任何名称和电子邮件。
这使得入侵低权限帐户的攻击者有可能伪造似乎来自受信任维护者的提交，从而规避审查策略并混淆审计跟踪。GitHub已经对推送进行了身份验证。此版本除了作者和提交者元数据外，还添加了持久的按提交推送器归因。
现在，推送到存储库的每个提交都有一个持久的、经过身份验证的推送器标识，与作者和提交者元数据声明的任何内容无关。一个新的存储库规则条件，提交者必须匹配推送者，阻止推送者元数据与经过身份验证的推送者的任何经过验证的电子邮件地址不匹配。这将关闭提交身份欺骗的路径。
您可以使用推送者身份来发现可疑活动或加快安全调查，而不是依赖未经验证的元数据。您可以这样做，因为现在无论提交在哪里显示，推送器标识都是可见的。要对存储库实施更严格的身份要求，请添加新的提交者必须将推送规则与规则集相匹配。
推送归因现已作为GitHub Enterprise客户的有限公开预览提供。如果您有兴趣加入预览，请联系您的客户团队并申请访问权限。了解有关配置推送规则集的更多信息。GitHub现在可以持久地记录推送每个提交的经过身份验证的用户，并将推送器标识与现有的作者和提交者字段一起在UI和API中显示。