快科技7月28日消息，據(jù)媒體報(bào)道，Truffle Security研究人員發(fā)現(xiàn)，即使在GitHub上刪除了代碼倉(cāng)庫(kù)，包括公開或私有的，這些代碼及其分叉副本的數(shù)據(jù)仍然可以被訪問(wèn)。TPo28資訊網(wǎng)——每日最新資訊28at.com

安全研究員Joe Leon提出了一個(gè)新術(shù)語(yǔ)“跨分叉對(duì)象引用”（CFOR），描述這種一個(gè)代碼倉(cāng)庫(kù)的分叉可以訪問(wèn)另一分叉的敏感數(shù)據(jù)的情況，包括那些來(lái)自私有及已刪除分叉的數(shù)據(jù)。TPo28資訊網(wǎng)——每日最新資訊28at.com

研究人員通過(guò)創(chuàng)建和分叉代碼倉(cāng)庫(kù)，展示了即便刪除了初始倉(cāng)庫(kù)，未同步的數(shù)據(jù)依然可以通過(guò)分叉訪問(wèn)。TPo28資訊網(wǎng)——每日最新資訊28at.com

GitHub的這一特性在社交媒體和論壇上引發(fā)了激烈討論，許多用戶對(duì)此表示擔(dān)憂，并呼吁GitHub采取措施解決這一問(wèn)題。TPo28資訊網(wǎng)——每日最新資訊28at.com

然而，GitHub的母公司微軟對(duì)此回應(yīng)稱，這是一個(gè)有意為之的“特性”，并非BUG，GitHub方面表示，這一設(shè)計(jì)符合官方文檔中的描述，且效果也完全符合預(yù)期。TPo28資訊網(wǎng)——每日最新資訊28at.com

Truffle Security公司聯(lián)合創(chuàng)始人兼CEO Dylan Ayrey解釋稱，這是所謂的“懸空提交”，是git的一個(gè)概念，并非GitHub的初始功能。TPo28資訊網(wǎng)——每日最新資訊28at.com

懸空提交可以存在于任何git平臺(tái)中，包括Gitbucket、GitLab、GitHub等。TPo28資訊網(wǎng)——每日最新資訊28at.com

Ayrey還指出，即使與代碼樹之間的連接被切斷，這些提交仍會(huì)被保留，并且只要掌握能夠直接訪問(wèn)這些內(nèi)容的標(biāo)識(shí)符，就仍可正常下載相關(guān)數(shù)據(jù)。TPo28資訊網(wǎng)——每日最新資訊28at.com

他建議GitHub考慮不在分叉之間共享分叉池，并建立新功能，允許用戶永久刪除提交。TPo28資訊網(wǎng)——每日最新資訊28at.com

TPo28資訊網(wǎng)——每日最新資訊28at.com