GitHub CLI可以选用会过期的OAuth令牌了

GitHub Changelog写，从CLI v2.103.0 起，可以在公开预览里选用会过期、自动刷新的OAuth凭据[1]。登录时加 --expiring：gh auth login --expiring；或者 gh config set expiring_credentials enabled 让以后每次登录都默认走这套[1]。

逻辑很直接：access token变短命，配上可轮换的refresh token，泄漏后几小时内就废掉，而不是长期有效[1]。gh auth status 能看到过期时间；给git走HTTPS时，官方强烈建议 gh auth setup-git，并尽量用 git 2.46+[1]。

要注意：脚本如果只跑一次 gh auth token 把结果存起来复用，后面会拿到过期值；需要时再读一次[1]。现在是opt-in，不选则行为不变；github.com和ghe.com可用，GHES从3.23起支持[1]。

你们CI和本地脚本，还在把token缓存很久吗？

[1] GitHub CLI: Opt in to expiring, auto-refreshing OAuth tokens（GitHub Changelog），2026年10月21日。

#GitHubCLI #OAuth #安全 #开发工具 #CLI