GitHub如何识别克隆仓库的用户？身份验证与权限疑问

1. GitHub 如何确认推送操作的是你而非其他账户？ #

Git 本身是本地版本控制系统，不做身份验证。GitHub 的身份校验只在推送代码到远程仓库时触发：

• 你必须提供与 GitHub 账户绑定的验证凭据，比如个人访问令牌（PAT）、SSH 密钥（私钥需保存在本地，公钥已绑定到你的账户）；
• 只有通过凭据校验，GitHub 才会认可此次推送是你发起的，否则会直接拒绝推送请求。

2. 他人克隆你的仓库后，Git 如何识别这是不同用户？ #

Git 本地的用户信息（提交记录里的作者/提交者）由git config user.name和git config user.email决定，这只是本地提交的标记，和 GitHub 的身份验证无关：

• 他人克隆仓库后，本地配置的是他们自己的user.name和user.email，所以提交记录会显示他们的信息；
• 但这个本地标记不代表 GitHub 会认可其身份，推送时还是要走 GitHub 的凭据校验流程。

3. 他人能否克隆你的仓库后直接用其账户贡献/推送代码？ #

分两种情况：

• 公开仓库：任何人都可以克隆，但要推送到你的远程仓库，必须拥有该仓库的写入权限（比如你把对方添加为仓库协作者）。没有权限的话，只能先 fork 仓库到自己的 GitHub 账户，推送到自己的 fork 后发起 Pull Request，由你审核合并；
• 私有仓库：没有你的授权（添加为协作者、发送访问邀请），别人连克隆都做不到，更别说推送。

4. 他人能否克隆你的仓库后冒充你进行贡献/推送？ #

不可能，原因有两点：

• 推送权限完全依赖 GitHub 的身份凭据：要冒充你推送，必须拿到你的个人访问令牌（PAT）或 SSH 私钥，只要你妥善保管这些凭据，别人无法获取；
• 就算对方在本地把user.name和user.email改成你的信息，推送到 GitHub 时，平台会根据验证凭据识别实际推送者账户，提交记录里的推送者身份会显示真实账户，和本地设置的作者信息分离，无法冒充。

内容的提问来源于stack exchange，提问作者user22538392