感谢 GitHub 的 $617 欢乐赞助（误）

虽然这不是“赞助”，但我们确实收到了来自 GitHub 的 $615 ，过程挺欢乐的。

故事的开头要从酷玩实验室于 2024-06-06 发的「终于，我们都受够了互联网“失忆症”」说起。

一位名为 @justcannotforgot （这 username 不错）的 GitHub 用户看完这篇微信公众号文章后，~~甚是感动~~，想起实验室里还有十几块硬盘在吃灰，于是跑过来发了个 issue，想送我们9️⃣硬盘。

可惜，我们那三天在磨洋功，他的 issue 一直被放置。于是在无响应的三天后，他更新了 issue，@ 了我们的成员。

他一下子 @ 了 4 个账号，但问题是，有一个账号是我们的内部 bot 账号，按理说不应该被外界知晓，他是怎么找到这个账号的？

他这一 @ ，弄得我们大惊失色。

然后我们发现用无关账号直接在我们的公开仓库 @ ，Mention suggester 竟然会将我们的 Private Owner 直接列出来。

我们临时给所有成员都加上了 Private Owner 权限，Mention suggester API 真就把全部 Private Owner 列出来了，再把临时权限去掉，果然，对应账号又从 API 中消失了。（GitHub Web UI 上限制了显示行数，但 F12 能看到 API 有返回更多账号）

正常情况下，Mention suggester 应该只会列出组织的 Public Owner 和调用处仓库的活跃维护者/贡献者。但是不知道为啥，它把本该隐藏的 Private Owner 全列出来了。

我们立即拿家里蹲大学和 Epic Game 开刀，不得不说不愧是家里蹲大学，API 返回了 642 个家里蹲仔。但可惜，图中聊天记录一开始的推断错了，Mention suggester 返回 642 个账号是由于每个家里蹲入学家里蹲大学的时候都开了个家里蹲申请 issue 而产生的家里蹲噪声。（一个加入家里蹲大学就可以得知的家里蹲大学秘密：家里蹲大学里面藏着大概 10 个 Private 家里蹲皇帝）

然后我们拿群友的组织（~~非生物组织，全过程没有任何成员受到伤害~~）做实验，又当场新建了个组织，均没有泄漏 Private Owner……

难道我们 saveweb 是体质比其他 org 特殊患感冒了？

很快啊，我们找到了问题的关键：是由于咱 saveweb 遥遥领先，别的组织入 org 即送全 org 范围的 read 权限（默认），而咱们则是设置成了入 org 啥权限都不派送（No permission），相反，我们用 GitHub 的 Team 功能“细粒度”分配不同 repos 的权限给不同的成员。