커밋의 작성자·커미터 정보는 푸시하는 클라이언트가 적어 넣는 문자열이라 쓰기 권한만 있으면 아무 이름·이메일로 바꿀 수 있고, 깃허브는 권한이 낮은 계정을 빼앗은 공격자가 이를 이용해 신뢰받는 관리자의 커밋처럼 꾸밀 수 있다고 설명했어요. 이번 기능은 커밋마다 인증된 푸시 사용자(pusher)를 영구히 기록해 화면과 API 에서 작성자·커미터 옆에 보여 주고, 규칙셋에 새 조건 'Committer must match pusher' 를 넣으면 커미터 이메일이 푸시한 사용자의 인증된 이메일과 맞지 않는 푸시를 막아요. 미리보기는 GitHub Enterprise 고객이 계정 담당 팀에 요청해야 쓸 수 있고, 공지에는 API 필드 이름이나 깃허브 앱·봇이 푸시한 커밋을 어떻게 표시하는지가 적혀 있지 않아요.
용어 풀이
- API
- 프로그램끼리 기능·데이터를 주고받는 약속된 호출 방식
- CI
- 코드를 올릴 때마다 빌드·테스트를 자동으로 돌리는 체계(지속적 통합)
- 규칙셋(ruleset)
- 저장소의 브랜치·푸시에 적용할 규칙을 묶어 두는 깃허브 설정
운영자 인사이트
엔터프라이즈 조직이라면 커밋 작성자 이름만 보고 리뷰·감사를 판단하던 절차를 푸시 사용자 기준으로 바꿀 수 있는지 검토할 만해요. 다만 'Committer must match pusher' 를 켜기 전에 CI·자동화 도구·공용 계정처럼 커미터 이메일과 푸시 계정이 다른 작업 흐름이 있는지 먼저 찾아 두세요. 공지는 이런 경우를 어떻게 처리하는지 설명하지 않아요.
여러 관점으로 보기
- 규칙셋 공식 문서 공지가 연결한 푸시 규칙셋 문서는 파일 확장자·경로·크기로 푸시를 막는 기능만 설명하고, 새 조건 'Committer must match pusher' 와 푸시 사용자 기록은 아직 싣지 않았어요. GitHub Docs