Bitbucket用户未在项目/仓库权限列表却可推送代码，该排查何处？

• 检查组级权限继承：多数代码协作平台支持权限从父组向下继承，用户可能通过所属的上级组获取了仓库推送权限，而非直接添加到项目/仓库成员列表。前往对应父组的成员页面查找该用户，同时确认组对目标仓库的权限配置（如是否授予Maintainer/Developer级权限）。
• 排查间接成员身份：用户可能通过嵌套组、外部协作组或LDAP/SSO同步的组获得权限，而非直接成为项目本地成员。例如，某个LDAP组被赋予仓库权限，用户属于该LDAP组，但未在项目成员列表中单独显示。
• 深挖Push log细节：从Push log中提取推送身份凭证信息，如SSH密钥指纹、OAuth应用ID、个人访问令牌（PAT）关联账号。这些信息可定位权限来源——比如用户是否使用了他人的SSH密钥、有推送权限的机器人账号令牌。
• 检查分支保护例外规则：部分平台允许在分支保护设置中配置特定用户/组绕过常规权限直接推送。前往仓库分支管理页面，查看是否存在针对该用户或其所属组的推送例外规则。
• 排查服务/机器人账号：用户可能借用了具备推送权限的服务账号（如CI/CD机器人、部署账号）的凭证推送代码。前往平台服务账号管理页面，核对这类账号的权限配置，并结合Audit log、Push log查看是否有对应账号的操作记录。
• 梳理Audit log完整操作链：除推送相关日志外，重点查找近期的权限变更记录——比如是否添加过新组、修改过权限继承规则、临时赋予权限后又删除（部分平台权限删除不会立即失效现有会话，用户仍可凭借有效凭证推送）。
• 核实仓库镜像/同步配置：若目标仓库是外部仓库的镜像，用户可能在外部仓库推送后，代码通过同步机制进入当前仓库，此时当前仓库权限列表不会显示该用户。核对Push log中的推送来源是否为镜像同步服务。
• 确认权限列表显示范围：检查权限列表的过滤选项，是否仅显示直接添加的用户、活跃用户，切换至“所有成员”“继承成员”“外部成员”等分类，确保未遗漏用户。

内容的提问来源于stack exchange，提问作者Anish Raut