如何限制GitHub外部开发团队互相审批Pull Request的权限

现有CODEOWNERS配置未达预期的核心是对GitHub权限逻辑的认知偏差：开启「要求代码所有者审批」的分支保护规则，仅会强制PR必须获得对应路径代码所有者的批准才能满足合并条件，不会自动收回拥有仓库Write权限用户的PR审批资格。给@other_company/devs授予Write权限后，该团队成员天然可以看到审批按钮、提交审批意见，只是他们的审批不会被计入「代码所有者审批」的校验项，并非真的被剥夺了审批权限。

• 第一步：在分支保护规则中限制审批人范围
  进入仓库设置页，打开Branches选项卡，编辑需要管控的目标分支对应的保护规则，在拉取请求审批板块找到「限制可以批准拉取请求的人员」选项并勾选，在弹出的人员/团队选择列表中，仅添加允许拥有审批权的内部团队（比如@company/company-devs）和指定的特殊开发者，将外部团队@other_company/devs从该列表中移除。
  这个配置生效后，外部团队成员打开同团队成员提交的PR时，页面只会显示评论入口，不会出现「批准」「请求更改」的审批操作按钮，从根源上杜绝互相审批的可能。
• 第二步：校验CODEOWNERS规则有效性
  当前写的全局CODEOWNERS规则本身逻辑没问题，只要确认文件是提交在仓库默认分支的.github/目录下即可——如果CODEOWNERS放在其他分支、或者.github目录之外的路径，规则不会触发。如果需要做细粒度权限拆分，比如允许外部团队审批自己负责模块的PR、但不能审批跨模块内容，可以单独给对应目录配置专属所有者规则，不用全量用*通配符。
• 第三步：权限验证
  配置完成后用外部团队的测试账号登录，打开同团队成员提交的PR，确认没有审批操作按钮；再用内部有权限的账号登录，确认可以正常提交审批、且审批记录能满足分支保护的合并校验要求即可。

不要为了限制审批权限直接把外部团队的仓库权限从Write降到Triage：Triage权限虽然没有PR审批权，但同时也没有代码推送权限，外部开发者没法推送分支提交PR，会直接影响正常开发流程。

内容的提问来源于stack exchange，提问作者Alex