常青之道：我们如何在共享组织中实现安全访问与代码仓库治理自动化

在 2026 年 10 月 15 日发布的 GitHub 官方材料中，GitHub 推出了 Evergreen，这是一款旨在自动维护共享组织代码仓库的 GitHub App。它的用途很明确：识别仍需访问权限的外部协作者，回收不再有依据的访问权限，发现长期未活跃的仓库，并归档持续无人使用的仓库。未得到响应的审核默认撤销访问权限，而仓库归档仍可恢复，不具破坏性。

实际会发生什么变化

Evergreen 按季度运行，分为四个阶段：

第 1 天：标记近期没有人工活动的仓库，并创建警告议题。
第 8 天：记录每个仓库的外部协作者名单，并创建一个清单议题。
第 16 天：归档宽限期结束后仍被判定为长期未活跃的仓库。
第 23 天：撤销所有一直无人回应的协作者访问权限审核。

审核议题会在清理前两周开启，从而提供明确的响应期限，避免因误执行而立即撤销权限。每个阶段也可以通过 workflow_dispatch 手动触发，以便检查或重复执行某项操作。

协作者审核流程有意设计得简单明了。审核者勾选应保留访问权限的人员，然后关闭议题。Evergreen 会监听 issues.closed 事件，保留勾选的协作者，并移除其余人员。后续评论会准确记录保留了谁、移除了谁。如果没有相应权限的人关闭审核，应用会重新打开议题，并解释为何未接受该决定。

状态、所有权与可审计性

Evergreen 将 GitHub 功能用作控制平面，包括 GitHub App、定时 Actions、Webhook、议题、自定义属性、仓库文件以及 Git 历史记录。一个专用的控制仓库既充当调度器，也充当状态记录载体。

每个仓库的状态都存储在 state/repos/<repo_id>.json 下的 JSON 文件中。该文件记录最后观察到的活动、访问权限审核的截止日期和状态、审核开启时存在的协作者、续期账户、决策人以及任何跟踪议题。由于每次更新都会提交到 Git，提交历史无需单独的审计数据库即可提供审计轨迹。

Evergreen 通过回退链确定合适的审核者。如果仓库定义了 evergreen_repo_owner 自定义属性，Evergreen 就使用该所有者；否则，它会检查近期的议题和提交作者，并找出其中属于访问审核团队的人员。这样无需依赖单独的归属电子表格，但仍要求仓库元数据和近期活动具有参考价值。

安全默认值与可恢复的错误

核心设计原则是安全失败。如果审核截止日期过去后仍未得到响应，Evergreen 会撤销原始快照中所有协作者的访问权限，而不会假定继续保留权限无害。系统会在截止日期前发布提醒，确保结果不会令人措手不及。

当清理工作无法全部完成时，应用同样采用失败即停止的策略。如果一名协作者的权限移除成功，而另一名协作者遇到 API 临时错误，审核仍会保持待处理状态，议题也会继续保持开启。后续运行会重试剩余的移除操作。只有在所有移除操作都成功后，Evergreen 才会将审核记录为已完成。

系统不会删除任何仓库或其内容。归档仓库可以恢复，审核议题会列出受影响的账户，因此可以通过重新添加这些账户来恢复访问权限。组织所有者还可以通过 evergreen_exempt_from_access_review 或 evergreen_exempt_from_archive 自定义属性，将特定仓库排除在相关流程之外。

这种模式的适用场景

这种方法最适合仓库与客户、合作伙伴、承包商或其他临时参与者共享的组织。GitHub 表示，其促成 Evergreen 应用的内部环境包括 1,400 多名员工，以及共同参与产品试用和专业服务项目的客户与合作伙伴。同样的环境也反复带来一些问题：所有权发生变化，访问权限在项目结束后仍然保留，以及长期未活跃的仓库不断积累，却没有人持续进行审核。

如果仓库活动无法可靠反映项目是否仍然需要，Evergreen 就不太适用。议题和提交活动较少的仓库可能仍在正常运营，仅依据这一信号作出自动归档决定可能会出错。该实现还要求议题、权限、Webhook 和自定义属性可用，并且得到一致使用。

规模也会带来另一项限制。源材料将 GitHub 内容创建操作的二级速率限制描述为每分钟 80 次请求、每小时 500 次请求。因此，Evergreen 会分批处理仓库，拉开内容创建调用的时间间隔，并在批次之间等待，使滚动窗口得以重置。不产生内容的仓库不会计入这种节流逻辑。

如何负责任地采用

GitHub 建议先从一项周期性的访问权限或归档任务开始，而不是一次性尝试自动化所有清理流程。谨慎推广应包括以下做法：

以试运行模式运行，并检查拟议的协作者和仓库变更。
启用强制执行前，告知相关人员执行时间表、预期操作和响应要求。
使用结构化日志识别边缘情况，例如空的协作者名单、异常权限或已禁用的议题。
支持手动执行，使团队能够检查或重复执行特定阶段。
在议题中记录移除操作，使恢复操作只需还原列出的账户。

更重要的启示并非仓库清理一定需要定制管理界面。GitHub 对 Evergreen 的介绍表明，议题、Actions、Webhook、自定义属性和版本控制状态可以覆盖关键工作流程：安排决策、通知所有者、记录结果、执行安全默认值，并保留回退路径。对于愿意将这些原语纳入有意识运营流程的组织，例行维护可以转变为计划任务，不再依赖偶发的清理行动。

资料来源：Staying Evergreen: How we automated secure access and repo hygiene in a shared org（2026-10-15）。