GitHub push attribution: separare autore, committer e pusher
Un nome noto in un commit non prova chi l’ha inviato. GitHub ha annunciato il 12 ottobre un’anteprima pubblica limitata dell’attribuzione autenticata del pusher.
Quale domanda risolve
I campi autore e committer sono stringhe fornite dal client. Il pusher aggiunge l’identità autenticata da GitHub per l’invio, non la prova di una revisione del codice.
Verifica l’accesso all’anteprima
L’annuncio riguarda clienti GitHub Enterprise nell’anteprima limitata; l’accesso si richiede al team account. Non è disponibilità generale per tutti.
Separare osservazione e regola
Committer must match pusher blocca invii quando il committer non coincide con una email verificata del pusher autenticato. Non sostituisce firme o revisione del diff.
Documenta prima l’automazione
Se un account crea commit e un altro li invia, annota entrambi. Proponiamo di provare invii coerenti e discordanti in un repository di test prima dell’attivazione.
Collega hash, identità d’invio e ora del controllo alla revisione. Una corrispondenza di identità non prova che una persona abbia esaminato la modifica.
L’equivoco pratico è leggere un nome come prova d’identità. Non trattiamo aneddoti non verificati o numeri inventati come fatti; controlla UI/API nell’account reale.
Fonti ufficiali
Ambito verificato il 13 ottobre 2026; proposte operative separate.