超级管理员
楼主
Docker 发布安全公告 CVE-2026-105445：Docker Hub 账户转换为组织的过程中，个人访问令牌（PAT）可能被重新分配给新的所有者。公告说明了发生了什么、影响范围和修复方式。
问题本质
个人账号转换成组织账号是一次身份主体变更。但在这个过程中，原本绑定到个人身份的 PAT 没有正确处理——转移到了新主体上。后果是：本应属于个人的访问凭证，可能被组织的新管理员看到或使用。
影响范围的关键
是否受影响取决于你是否执行过账户到组织的转换。没做过转换的账号不在影响范围内。做过的话，要检查当时存在过哪些 PAT、当前状态如何。
该做什么
第一，回顾是否执行过账户转组织的操作。第二，检查当前组织下是否存在来源可疑的 PAT。第三，对所有在转换时间点前后创建的 PAT 做一次轮换——不管看起来是否正常。
令牌轮换是最省事的处置方式。令牌本身不值钱，重发一个的成本远低于判断它是否被滥用。
更一般的教训
身份主体变更是安全设计里最容易被忽略的环节。并购、组织架构调整、账号类型变更——这些操作会打破“凭证绑定到某个固定主体”的隐含假设。做系统设计时，主体变更路径要和创建、使用路径一样经过安全评审。
对 CI 的连带影响
如果 CI 用的是个人 PAT，而账号经过了转换，凭证的归属可能已经不是你以为的那个。趁这次把 CI 全部切到组织级令牌或短期凭证，长期更省事。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。