GitHub 强化漏洞报告机制：实施私有的每日频率限制与白名单制度
更新背景
随着开源生态的日益复杂，GitHub 的开源维护者正面临前所未有的挑战：低质量、重复甚至完全自动化的漏洞报告数量激增。这些“噪音”不仅淹没了真正有价值的发现，还消耗了维护者的宝贵精力，甚至可能引发误报导致的系统误判。
为了平衡安全响应速度与社区健康度，GitHub 决定对私有的漏洞报告（Private Vulnerability Reporting）机制进行关键升级，引入基于用户和仓库的每日频率限制（Rate Limits）。
核心功能突破
此次更新旨在通过技术手段过滤无效流量，同时保护合法的安全研究人员。主要特性包括：
- 每日用户级频率限制：系统现在会对每个账户提交的新报告（New Reports）实施每日上限。无论该报告是针对特定仓库还是跨仓库提交，均受此限制约束。
- 智能拦截与提示：当用户达到当日提交上限时，系统将自动拦截并提示用户稍后重试，而非直接拒绝或导致账户异常。
- 评论功能豁免：该限制仅针对新报告。对已有漏洞公告（Advisories）的评论、讨论不受影响，确保了社区沟通渠道的畅通。
- 管理员自定义配置：仓库管理员可根据项目风险等级，在“高级安全”设置中自定义每日整体报告限制。
- 可信白名单机制：管理员可将已验证的安全研究人员添加到白名单中，这些用户将完全豁免频率限制，确保关键发现能被及时捕获。
开发者与用户的实际应用价值
对于开源维护者而言，这一更新是应对自动化扫描器泛滥和恶意刷单的有效盾牌。它确保了只有经过筛选的高质量报告才能进入处理队列，大幅降低了维护成本。
对于安全研究人员，虽然存在数量限制，但白名单机制和评论豁免功能保障了核心发现路径的畅通。研究人员只需确保其身份可信或专注于高价值漏洞，即可高效完成工作。
配置指南
管理员可通过以下步骤配置此功能：
- 进入仓库的 Settings。
- 选择 Advanced Security 标签页。
- 点击 Private vulnerability reporting 旁的 Settings 按钮。
- 在此处设置自定义每日限制或添加白名单用户。
该功能目前适用于所有启用了私有漏洞报告的公共仓库，涵盖 GitHub Free、GitHub Pro、GitHub Team 及 GitHub Enterprise Cloud 所有层级。
