快科技7月28日消息，據(jù)媒體報(bào)道，Truffle Security研究人員發(fā)現(xiàn)，即使在GitHub上刪除了代碼倉庫，包括公開或私有的，這些代碼及其分叉副本的數(shù)據(jù)仍然可以被訪問。

安全研究員Joe Leon提出了一個(gè)新術(shù)語“跨分叉對象引用”（CFOR），描述這種一個(gè)代碼倉庫的分叉可以訪問另一分叉的敏感數(shù)據(jù)的情況，包括那些來自私有及已刪除分叉的數(shù)據(jù)。

研究人員通過創(chuàng)建和分叉代碼倉庫，展示了即便刪除了初始倉庫，未同步的數(shù)據(jù)依然可以通過分叉訪問。

GitHub的這一特性在社交媒體和論壇上引發(fā)了激烈討論，許多用戶對此表示擔(dān)憂，并呼吁GitHub采取措施解決這一問題。

然而，GitHub的母公司微軟對此回應(yīng)稱，這是一個(gè)有意為之的“特性”，并非BUG，GitHub方面表示，這一設(shè)計(jì)符合官方文檔中的描述，且效果也完全符合預(yù)期。

Truffle Security公司聯(lián)合創(chuàng)始人兼CEO Dylan Ayrey解釋稱，這是所謂的“懸空提交”，是git的一個(gè)概念，并非GitHub的初始功能。

懸空提交可以存在于任何git平臺(tái)中，包括Gitbucket、GitLab、GitHub等。

Ayrey還指出，即使與代碼樹之間的連接被切斷，這些提交仍會(huì)被保留，并且只要掌握能夠直接訪問這些內(nèi)容的標(biāo)識(shí)符，就仍可正常下載相關(guān)數(shù)據(jù)。

他建議GitHub考慮不在分叉之間共享分叉池，并建立新功能，允許用戶永久刪除提交。