Gmail随机加号地址能否修复GitHub伪造内容安全漏洞？及防范方案咨询

核心解决办法 #

• 使用GitHub专属noreply邮箱：GitHub为每个账号提供格式为你的用户名+数字ID@users.noreply.github.com的noreply邮箱，将其设为Git默认提交邮箱并在GitHub中验证。该邮箱仅能用于GitHub提交，外部无法通过它发送邮件，且伪造提交无法通过此邮箱关联到你的账号。
• 开启提交签名验证：用GPG或SSH对所有Git提交进行签名，GitHub会为合法签名的提交标记「已验证」标识。即便他人盗用你的邮箱伪造提交，也无法通过你的签名验证，用户可通过「已验证」标签快速区分真实与伪造内容。

关于带随机后缀Gmail邮箱的效果 #

将邮箱改为foobar+bigrando12X4Z037j02uL84@gmail.com这类带随机后缀的地址，只有在该邮箱未被添加到你的GitHub已验证列表时，才不会被关联到账号。如果将其设为已验证邮箱，他人仍可通过伪造提交关联你的账号，因此这并非彻底解决方案，优先推荐使用GitHub的noreply邮箱。

额外防护措施 #

• 清理冗余已验证邮箱：定期移除GitHub账号中不再使用的已验证邮箱，缩小被伪造利用的邮箱范围。
• 启用警惕模式：开启后，所有关联你账号的提交必须是已签名验证的，未签名的提交即便使用你的已验证邮箱，也不会显示你的头像和用户名，能有效阻断伪造内容的关联。

内容的提问来源于stack exchange，提问作者Pacerier