GitHub 驗證提交徽章能證明程式碼是誰寫的嗎？

不能。徽章記錄的是 GitHub 成功驗證了該提交的簽章。它不能證明程式碼作者、目前誰控制帳號，或簽署者受雇於何處。

簽署金鑰被撤銷或過期後，驗證徽章還會保留嗎？

會。驗證一旦被記錄下來，即使簽署金鑰之後被撤銷或過期，該紀錄仍可能保留。這就是為什麼歷史徽章不應被解讀為對目前金鑰信任或帳號安全的陳述。

同一個使用者名稱出現在 GitHub 和另一個平台，代表什麼？

那是線索，不是證明。使用者名稱在不同平台間並不唯一，所以名稱相符不能確立這些帳號屬於同一人。下結論前請尋找獨立佐證。

TraceSeek 能驗證開發者是否真是他所聲稱的人嗎？

不能。TraceSeek 是涵蓋 3,000+ 個平台的使用者名稱搜尋，提供免註冊、免登入的首次免費掃描。它將公開相符結果作為線索回傳；不驗證身分、不變更平台設定，也不保證找到相符結果。

讀懂 GitHub 驗證提交徽章，別把它當成身分證明

徽章實際記錄了什麼

驗證提交徽章是簽章檢查的結果，不是人格保證。當你在 GitHub 上看到提交旁標示「Verified」，平台只告訴你一件很窄的事：它檢查了附加在該提交上的密碼學簽章，而且檢查通過。

當簽章成功驗證時，GitHub 會將已簽署的提交標示為 Verified。來源

徽章附著在提交上，而不是附著在個人身上。它也不是你眼前這個帳號的即時安全指標。驗證結果是某個時間點發生的一次檢查的歷史紀錄。

驗證一旦被記錄下來，即使簽署金鑰之後被撤銷或過期，該紀錄仍可能保留。來源

這種持續性對調查者很重要。即使產生徽章的簽署金鑰已被撤銷或過期，舊提交上的徽章仍可能可見。撤銷的金鑰不會回溯抹除徽章，過期的金鑰也不會讓舊提交變成未驗證。因此，徽章告訴你的是：簽章在記錄當下通過了檢查，而不是金鑰仍受信任、帳號仍安全，或目前帳號持有人就是當初簽署的人。

步驟 1：分開三個問題

當有人拿驗證提交當作開發者身分的證據時，通常混雜了三個不同問題。在評估任何事之前，先把它們拆開。

問題	驗證徽章能顯示什麼	它本身不能顯示什麼
這個提交是否已簽署並驗證？	GitHub 記錄了該提交的成功簽章驗證。	程式碼由誰撰寫，或程式碼品質好壞。
現在誰控制這個帳號？	無法直接顯示。徽章綁定的是提交，不是目前的登入控制權。	同一個人是否仍擁有帳號，或帳號是否已易手。
這個人是否真是他所聲稱的人，或真的受雇於他所聲稱的單位？	無法直接顯示。	身分、雇用關係，或代表組織發言的授權。

驗證徽章只回答第一列。第二列和第三列需要另外的證據。這與我們在公開個人檔案搜尋能與不能揭露一個人的哪些事指南中所述的原則相同：公開產物是線索，不是結論。

步驟 2：讀提交，不只讀徽章

徽章是捷徑，而捷徑會隱藏脈絡。打開提交本身，看看驗證結果周圍有什麼。

提交作者欄位與提交者欄位。 這些是中繼資料項目，不是誰打字的證明。在許多工作流程中，它們可以被設成任何內容。
顯示的簽署金鑰。 GitHub 會將驗證結果與一把金鑰關聯。注意該金鑰被呈現為屬於帳號、組織，還是機器人。
儲存庫與分支。 個人分支中的驗證提交，其組織份量低於合併進維護中專案的提交，但兩者都不證明雇用關係。
日期。 舊的驗證提交是歷史資料點。它對帳號目前的安全狀態沒有任何說明。

這些欄位無論單獨或合併，都不能確立帳號持有人就是個人簡介中所寫的人，或該人真的在個人檔案所說的地方工作。

步驟 3：另外查核目前的帳號控制權

驗證提交是關於某個提交的紀錄。帳號控制權是另一個問題，公開頁面很少直接回答。你能做的是尋找一致性與連續性。

比較帳號隨時間累積的公開歷史。長期且連貫的貢獻歷史是線索，不是證明。
在其他平台尋找相同使用者名稱或顯示名稱。使用者名稱相符是線索。它們不是這些帳號屬於同一人的證明，因為使用者名稱在不同平台間並不唯一，可能被重複使用或搶註。
把個人檔案文字、大頭貼和個人簡介視為帳號持有人提出的主張，而不是已驗證的事實。

如果有人拿驗證徽章當作他們目前控制某帳號的證明，那是範疇錯誤。徽章不衡量目前的登入安全，也不確認與你對話的人就是帳號持有人。

步驟 4：尋找獨立證據

獨立證據是指不是來自提出主張的同一個帳號的任何東西。例子包括組織自己發布的團隊成員名單、會議網站上的演講列表，或由組織帳號維護且本身有公開紀錄的儲存庫。即使是這些，也只是佐證，不是身分證明。你的工作是判斷這些組合該給多少權重，而不是宣稱確定。

決策表：驗證徽章該給多少權重

情況	合理解讀	剩餘不確定性
有徽章、金鑰仍與帳號關聯、提交是近期的	簽章已驗證，且金鑰關聯是目前的。	不能證明該人控制帳號或撰寫程式碼。
有徽章、金鑰已撤銷或過期	驗證在發生時已被記錄。	對目前金鑰信任或帳號安全沒有任何說明。
徽章只出現在舊提交上	歷史驗證紀錄。	對目前活動或控制權沒有暗示。
沒有徽章	該提交沒有已驗證的簽章。	沒有徽章不是不當行為的證據；許多合法工作流程不會簽署每個提交。
徽章加上其他地方的相符使用者名稱	值得追查的線索。	使用者名稱並不唯一；這些帳號可能屬於不同人。
徽章加上組織檔案提及	對可能隸屬關係的佐證。	不能證明雇用關係或代表組織發言的授權。

常見錯誤

把徽章當成身分查核。 它是簽章結果，不是背景調查。
假設歷史徽章能證明目前的帳號安全。 紀錄可能在金鑰撤銷或過期後仍保留，所以徽章不是即時狀態燈。
把作者與提交者中繼資料和著作權混為一談。 這些欄位是提交物件中的主張，不是誰撰寫程式碼的已驗證事實。
把相符的使用者名稱當成同一人的證明。 兩個平台上的相同使用者名稱是線索。它不是這些帳號屬於同一人的證明。
把分支上的徽章讀成組織背書。 個人分支中的驗證提交不能確立組織審查或背書了該作品。
假設未簽署的提交就可疑。 許多合法貢獻者與工作流程不會簽署每個提交。

自我檢查清單

在你重述一個以驗證徽章為基礎的開發者主張之前，先跑一遍這份清單。

我是否打開提交，並記下作者、提交者、金鑰、儲存庫和日期？
我是否把「簽章已驗證」與「帳號控制權」以及「身分或雇用關係」分開？
我是否查核金鑰是否仍與帳號關聯，或紀錄是否可能在撤銷或過期後仍保留？
我是否至少找到一個不是來自同一個帳號的來源？
我是否把相符的使用者名稱描述為線索，而不是同一人的證明？
我是否避免聲稱徽章能證明目前安全、作者身分或雇用關係？

保護自己的數位足跡

如果你會簽署提交，請記住驗證徽章是你留下的紀錄。它可能比產生它的金鑰更長壽。在撤銷或輪換簽署金鑰之前，先決定你希望舊提交如何被解讀，並自己記下哪些金鑰在何時被使用。如果你維護公開個人檔案，檢視你歷來使用過的使用者名稱，並查核舊帳號是否仍指向你。像 TraceSeek 這樣的使用者名稱搜尋，可以幫你檢視自己在 3,000+ 個平台上已知的公開使用者名稱；首次掃描免費，且不需要註冊或登入，結果通常在 20–30 秒內回傳。請把輸出當成待檢視的線索清單，而不是身分驗證。TraceSeek 不會變更平台設定、不保證找到相符結果，也不驗證任何人的身分。關於我們如何界定證據與限制，請參閱我們的方法論。

關鍵事實

當簽章成功驗證時，GitHub 會將已簽署的提交標示為 Verified。
驗證一旦被記錄下來，即使簽署金鑰之後被撤銷或過期，該紀錄仍可能保留。
驗證提交徽章是針對特定提交的簽章結果，不是目前帳號控制權或身分的證明。
跨平台相符的公開識別碼是線索，不是這些帳號屬於同一人的證明。
TraceSeek 涵蓋 3,000+ 個平台，並提供免註冊、免登入的首次免費掃描。