如何确保GitHub组织邀请仅可被企业域名邮箱用户接受？

你的理解误区 #

GitHub文档里“仅绑定已验证对应邮箱的账号可接受邀请”的意思是：用户的GitHub账号必须包含已验证的目标企业邮箱，但不限制账号同时绑定其他邮箱（比如个人邮箱）。只要账号里有这个已验证的企业邮箱，不管有没有其他邮箱，都能正常接受邀请——这就是你遇到的情况，并非文档描述有误，是你对规则的覆盖范围理解偏了。

满足OWASP要求的解决方案 #

要彻底禁止员工在组织内使用个人/非企业邮箱，光靠邀请环节远远不够，必须配置组织层面的强制规则：

• 开启强制企业邮箱验证：在组织设置的「Security」或「Membership」板块，找到“Enforce verified email for organization members”类的选项，开启后员工在组织内的所有提交、操作都只能用已验证的企业邮箱，个人邮箱会被自动禁用。
• 限制允许的邮箱域名：在组织的「Email settings」里添加你的企业域名，设置为唯一允许绑定的邮箱域名。这样员工的GitHub账号无法添加非企业域名的邮箱，已添加的会被要求移除才能继续留在组织。
• 配置SAML单点登录（SSO）：通过企业身份提供商（比如Azure AD、Okta）搭建SAML SSO，员工必须用企业身份登录GitHub，且账号必须绑定已验证的企业邮箱，从登录源头强制规范邮箱使用。

额外提醒 #

• 邀请环节只做“账号是否有目标企业邮箱”的校验，不会自动清理其他邮箱，必须靠组织设置来限制。
• 如果发现成员账号仍有个人邮箱，可在组织成员管理页面发起强制邮箱更新要求，逾期未改的可移除成员资格。

内容的提问来源于stack exchange，提问作者Michael12345