Git/GitHub能否以他人身份推送代码？如何防范该风险？

核心结论：你描述的操作完全无法推送到原作者的GitHub仓库 #

你配置的user.name和user.email只是Git本地提交的「作者标识」，GitHub的权限验证根本不依赖这两个字段——它只认你用来认证的凭据（SSH密钥、个人访问令牌PAT等），而这些凭据绑定的是你自己的GitHub账号，和你伪造的作者信息无关。

你操作时没被要求输入密码、也没触发合并请求，大概率是你误推送到了自己fork的仓库，而非原作者的仓库。原作者的公开仓库默认只有作者本人或授权协作者才有推送权限，其他人只能克隆、无法直接推送。

仓库防护措施 #

如果是保护自己的GitHub仓库，可通过以下方式防止恶意操作：

• 严格权限管控：将仓库设为私有（非必要不公开），仅给信任的人员分配「写权限」，普通访客仅保留只读权限。
• 启用分支保护规则：对主分支（如main/master）设置强制PR审核，禁止直接推送；可要求至少1个审核通过、必须通过CI检查才能合并。
• 开启提交签名验证：要求所有提交必须用GPG签名，GitHub会验证签名是否属于仓库授权用户，彻底杜绝伪造作者信息的提交。
• 监控仓库活动：定期查看仓库的提交记录、推送日志，发现异常提交或陌生账号操作及时处理。

内容的提问来源于stack exchange，提问作者Tenardie