GitHub向用户发送模糊的敲诈通知

背景

近日，一名 QGIS 开发者在邮件列表（QGIS-Developer）中发帖，称自己收到了一封来自 GitHub 的威胁性邮件，声称其所在组织即将开始为“Code Quality”功能付费。该用户表示自己从未注册过任何付费计划，也未向 GitHub 提供过账单信息，且早已退出之前所属的几个组织。邮件通过 SendGrid 发送，并带有 GitHub 的 DKIM 签名，因此真实性较高。用户怀疑邮件发送有误，但也担心 GitHub 可能正在利用模糊的条款向用户或组织收取意外费用。

核心内容

该用户于 2026 年 7 月 10 日收到一封邮件，发件人声称来自 GitHub，主题为“Code Quality 的计费通知”。邮件内容指出：

• 该用户的组织正在使用 GitHub Code Quality 公共预览版。
• 该功能将于 2026 年 7 月 20 日转为正式版（GA），届时将开始计费。
• 定价结构为“基础订阅 + 按量计费”：
  • Per-committer license：每活跃提交者每月 10 美元，涵盖企业级 Code Quality 功能（包括发现、评分、Rulesets 集成、Security Overview 和组织级治理）。
  • AI-powered usage：基于 AI Credits 按用量计费，包括 Copilot 代码审查、AI 辅助检测、Copilot Autofix 生成。
  • Deterministic analysis：按 GitHub Actions 分钟数计费，使用 CodeQL 进行可维护性和可靠性扫描。
• 活跃提交者按 GitHub Advanced Security 同样的方法统计，在启用 Code Quality 的仓库中计算。
• 邮件还提供了准备建议：联系账户团队评估成本、评估仓库覆盖范围，并在 7 月 20 日前禁用不需要的 Code Quality 以避免收费。

用户特别指出，邮件中提到了“您收到此邮件是因为您是 GitHub Sponsors 的一部分”，但用户既未注册 Sponsors，也未赞助过任何人。因此用户认为邮件发送有误，并提出了几个疑问：

• 是否因为 QGIS 使用了 Code Quality，而自己克隆过仓库、提交过 issue 等，导致被误认为组织成员？
• 是否还有其他用户收到类似邮件？
• 这是一个混乱的错误，还是 GitHub 的某种暗中手段？是否有人担心意外账单？

关键要点

• 邮件来源可信：邮件通过 SendGrid 发送，并带有 GitHub 的 DKIM 签名，因此大概率是官方发送，而非钓鱼邮件。
• 用户未主动订阅：该用户从未添加付费计划，也未提供账单信息，且已退出多个组织，但仍收到计费通知。
• 计费细节清晰：Code Quality 的定价分为 per-committer license、AI 用量和确定性分析（Actions 分钟数），其中 per-committer 为每月 10 美元。
• 邮件存在错误：邮件声称用户属于 GitHub Sponsors，但用户实际并非 Sponsors 参与者，说明邮件列表或定向逻辑有误。
• 用户担忧：用户担心 GitHub 可能向无关用户或已废弃的组织发送模糊的收费通知，甚至产生意外账单。
• 社区反馈：该帖子发表在 QGIS-Developer 邮件列表，标题为“Anyone else get a vague GitHub shakedown notice?”，暗示可能有更多人遇到类似情况。

意义与影响

• 信任危机：GitHub 作为开发者社区的核心平台，出现此类模棱两可的收费通知，可能损害用户信任。尤其是在用户明确表示未订阅的情况下，GitHub 的沟通方式显得不够清晰甚至带有威胁性（“shakedown”）。
• 计费机制需透明：GitHub 的 Code Quality 功能从预览版过渡到付费版，其计费逻辑（如如何定义“活跃提交者”、如何关联组织）需要更详细、更透明的说明，避免误伤无辜用户。
• 组织管理风险：用户曾加入过组织但已退出，仍可能被计费系统视为成员，这暴露了 GitHub 在组织成员状态同步上的漏洞。用户应谨慎管理自己的组织关联，并及时检查仓库的 Code Quality 是否启用。
• 对开源项目的影响：QGIS 是一个开源 GIS 项目，如果其仓库或组织被误配置了 Code Quality，可能导致贡献者收到意外账单。开源项目维护者应主动检查 GitHub 设置，确保未启用不必要的付费功能。
• 行业警示：类似事件可能并非孤例。随着 AI 和代码质量工具逐步商业化，开发者应保持警惕，定期检查自己的 GitHub 账户、组织关联以及计费设置，避免被遗漏的通知或错误配置所困扰。