GitHub API 踩坑记：为什么我的 Token 只有 60_h？域名邮箱注册被标记的真相与解决方案

开发一个深度依赖 GitHub API 的项目时，遇到了一个令人困惑的问题：刚注册的 GitHub 账号，API 调用额度只有 60 次每小时。 排查许久后终于定位到根因——邮箱域名的信任权重。记录如下，供遇到同类问题的开发者参考。

一、TL;DR

使用个人域名的邮箱（如 admin@mydomain.com）注册 GitHub 账号，有极大概率被平台安全机制立即标记。标记后的账号 API 额度被限制在 60 次/小时，而非正常的 5000 次/小时。换用主流邮箱服务商（QQ、Gmail、Outlook 等）注册即可规避。

二、排查过程

第一轮：怀疑 IP

短时间注册了多个测试账号，首先想到的是"同一 IP 高频注册触发了风控"。换用手机热点切了一个新 IP 重新注册，结果依旧——新号拿到 Token 后查询额度，仍是 60/h。

第二轮：怀疑设备指纹

起了一台干净虚拟机，从零走完注册流程，依然被标记。IP 和设备两个维度同时排除。

第三轮：锁定邮箱域名

对比所有被标记账号的共同特征后，答案浮出水面：全部使用了自建域名的邮箱。例如 bot01@mydomain.com、bot02@mydomain.com。而同期用 QQ 邮箱注册的测试账号，额度均为正常的 5000/h。

GitHub 安全模型对非主流邮箱域名天然信任度低。恶意注册行为大多依赖自建或临时邮箱，小众域名在这一逻辑下被归入高风险类别也就不足为奇了。

三、被标记后的具体影响

1. API 额度降至 60/h

这是对开发工作伤害最大的限制。未认证请求的默认限额就是 60/h（按 IP 计算），但已认证请求理应获得 5000/h。被标记的账号虽然通过了认证，额度却被拉回未认证水平。

查询当前额度：

curl -H "Authorization: token YOUR_TOKEN" https://api.github.com/rate_limit | jq '.resources.core'

输出中 limit 为 60 即表示账号已被限制。

2. 账号及仓库对外不可见

访问 https://github.com/{username} 直接返回 404，Profile 页面对外隐藏。关键在于：即使仓库已设为公开（public），未登录用户同样无法通过链接访问。 实测中，被标记账号下的公开仓库在未认证请求中返回 Not Found，只有登录态的 token 才能正常读写。这意味着所有仓库实际上处于"对外隐藏、对内可用"的状态——对外部协作者和搜索引擎完全不可见，但账号自己仍能通过 API 操作。

3. 部分管理操作被禁用

• 修改用户名
• 主动注销账号
• 部分 OAuth 授权流程

这些限制指向同一个原因：账号被标记为 "suspicious"，在未通过人工审核前处于半冻结态。

四、如何检测账号是否被标记

最直接的方式：使用浏览器的无痕/隐私窗口访问 https://github.com/{username}。如果显示 404，而登录态下能正常查看，则为被标记状态。

也可以通过 API 验证：

curl -s https://api.github.com/users/{username} | jq '.message'
# 返回 "Not Found" 表示被标记

五、解决方案

方案一：换用主流邮箱注册（推荐）

使用 QQ Mail、Gmail、Outlook 等大厂邮箱注册。这类域名在平台侧的信用分充足，只要不进行短时间大批量注册，通常不会被标记。

实际项目中，将全部 bot 账号改为 QQ 邮箱注册后，所有账号均稳定获得 5000/h 额度，未见任何异常。

方案二：通过 GitHub Support 申诉

如果账号已绑定重要仓库或不方便换号，可以尝试提交申诉。登录后访问 GitHub Support 提交说明，阐述账号的正常使用目的。

申诉回复周期不可控，成功率也不一定理想。对于开发进度敏感的场景，换号更实际。

方案三：使用 Fine-Grained Token

如果使用场景不依赖完整账号功能，可以用一个正常账号创建 Fine-Grained Personal Access Token（细粒度访问令牌）。这类 Token 天然拥有 5000/h 额度，且支持精确的权限范围控制。但需注意 Fine-Grained Token 不支持部分 API（如仓库创建），具体视项目需求评估。

六、总结

注册邮箱	API 额度	账号与仓库可见性	适用场景
QQ/Gmail/Outlook	5000/h	正常对外可见	开发测试、生产环境
个人域名邮箱	60/h	对外 404（含公开仓库）	❌ 不推荐
临时邮箱	60/h 或拒绝注册	注册即失效	❌ 不推荐

核心结论：GitHub 的信任模型将邮箱域名视为关键权重因子。 涉及自动化开发和 bot 账号管理的场景，务必优先选择主流邮箱注册，个人域名的便捷远不及其带来的排查和切换成本。