GitHub推送代码时将PAT同时填作用户名和密码是问题还是功能？

性质说明：这是官方设计的正常特性，既不是BUG也不是隐藏功能 #

你观察到的「任意用户名+正确PAT即可完成HTTPS推送认证」是GitHub官方预设的认证逻辑，属于公开的正常功能，而非系统漏洞。

该设计的具体原因 #

PAT（个人访问令牌）本身已经嵌入了完整的身份和权限信息：每个PAT生成时就和特定的GitHub账号绑定，同时内置了权限范围、有效期等属性。GitHub后端在处理HTTPS Basic Auth请求时，会优先校验密码字段传入的PAT合法性，只要PAT有效，就会直接关联到其所属的账号完成身份核验，完全不会读取、校验用户名字段的内容。
这种设计主要是为了适配更多使用场景：

• 简化CI/CD、自动化脚本的配置逻辑，很多流水线工具的Git认证配置仅支持填写密码参数，无需额外配置用户名，直接传PAT即可正常运行
• 降低多账号场景的使用成本，用户不需要记忆不同账号对应的用户名，只要持有对应账号的有效PAT即可完成操作
• 兼容旧版Git客户端和第三方Git工具的认证逻辑，避免因用户名配置错误导致的认证失败问题

该操作的安全风险说明 #

你将PAT同时填入用户名和密码框的操作，和常规的「正确用户名+PAT」认证模式的安全等级完全一致，不会带来额外的安全隐患。但需要注意PAT本身和账号密码具备同等权限，请注意以下安全规则：

• 按需为PAT配置最小可用权限，比如仅给需要推送代码的PAT开通repo权限，不需要的权限全部关闭
• 为PAT设置合理的有效期，避免生成长期有效的无过期时间PAT
• 不要将PAT明文写入代码、公共配置文件等可被他人访问的位置，一旦发现PAT泄漏第一时间到GitHub设置页吊销

多账号场景的使用建议 #

如果你不方便将所有账号的凭据存入系统全局配置，可以直接使用该方式操作，也可以针对单个仓库单独配置用户名信息：
在对应仓库目录下执行git config user.name "你的账号用户名"、git config user.email "你的账号绑定邮箱"，后续推送时输入对应账号的PAT即可，不会和其他账号的配置冲突。

内容的提问来源于stack exchange，提问作者Naveen Kumar V