如何阻止GitHub组织成员修改主邮箱后仍能访问组织？

一、阻止成员修改主邮箱的可行方案 #

GitHub本身不支持直接限制用户修改个人账号的主邮箱（这属于用户个人账号的核心设置），但可以通过以下方式间接实现强制绑定指定邮箱：

• 启用组织强制单点登录（SSO）：将组织与Azure AD、Okta等身份提供商（IdP）集成，要求成员必须通过IdP认证才能访问组织。在IdP端设置用户邮箱为不可修改状态，同时配置GitHub与IdP的邮箱映射，确保用户的GitHub主邮箱必须与IdP中的邮箱一致，否则无法完成SSO认证，进而无法访问组织。
• 开启组织的邮箱验证要求：在组织设置中开启“要求成员验证其电子邮件地址”，确保成员修改后的主邮箱是已验证的，但这仅能保证邮箱有效性，无法阻止修改行为，需配合SSO使用才能实现强制绑定。

二、成员修改主邮箱后自动禁止访问的实现方式 #

针对成员修改主邮箱后仍能访问组织的现状，可通过以下两种方式实现自动拦截：

• 使用GitHub组织规则集（Organization Rulesets）：创建规则集，添加条件“成员主邮箱匹配指定域名/邮箱列表”，设置违规动作为“移除成员权限”或“从组织中移除成员”。一旦成员修改主邮箱后不符合规则，系统会自动执行限制操作。
• 自动化脚本/工具监听：通过GitHub API监听组织成员的邮箱变更事件，或者定期轮询成员的主邮箱信息。当检测到成员主邮箱不在允许的范围内时，调用GitHub API自动移除该成员的组织访问权限。比如用GitHub Actions编写定时任务，每天检查一次成员邮箱，不符合条件则触发移除流程。

内容的提问来源于stack exchange，提问作者Sujith C P