如何审计已授予的GitHub OAuth权限？含组织成员权限审查方法

一、查看个人已授权OAuth应用的权限级别 #

不用愁找不到权限详情，按照这个步骤来：

• 登录你的GitHub账号，点击右上角头像，选择Settings（设置）
• 在左侧导航栏里，找到Applications分类下的Authorized OAuth Apps（已授权的OAuth应用）
• 这里会列出所有你授权过的第三方服务/应用，点击任意一个应用的名称进入详情页
• 在详情页的Permissions板块，就能看到该应用的具体权限范围——比如像Advent of Code那样只请求公开信息的只读权限，或者Travis-CI那样的私有仓库读写、提交状态修改、Webhook配置等高权限，一目了然

二、审查组织成员的相关权限情况 #

作为组织管理员/拥有者，你可以从两个维度进行审查：

1. 查看成员授权的第三方应用对组织资源的访问权限 #

• 进入组织主页，点击顶部导航栏的Settings（设置）
• 在左侧菜单找到Third-party access（第三方访问）选项
• 这里会展示所有被组织成员授权、能够访问组织资源的第三方应用，点击应用名称可以查看它的具体权限，还能看到是哪些成员授权了这个应用
• 如果发现风险较高的应用，你可以直接在这里撤销它对组织的访问权限，避免数据泄露风险

2. 查看组织成员自身的组织/仓库权限 #

• 回到组织主页，点击People（人员）选项卡
• 在人员列表里，你可以直接看到每个成员的角色（比如Owner、Maintainer、Member等），这代表他们在组织层面的基础权限
• 若要查看更细粒度的仓库权限，进入目标仓库的Settings→Collaborators and teams，就能看到该成员对这个仓库的具体权限（比如只读、读写、管理员等）

这样就能全面完成你需要的权限审查工作啦，不管是个人授权的应用权限，还是组织层面的成员权限和第三方应用访问情况，都能清晰把控。

内容的提问来源于stack exchange，提问作者adam-p