Github App Authentication

核心功能

ghapp 是一款专为自动化场景设计的 GitHub App 身份认证工具，解决个人账号凭据在 CI/CD、AI Agent 等场景中的安全与署名问题。核心机制是通过 GitHub App 的私钥生成短期 Installation Token，替代个人 Access Token，使所有 git 操作（commit、PR、Actions）以独立的 bot 身份（如 myapp[bot]）执行，而非操作者个人账号。

显著优点

• 身份隔离：彻底分离人机身份，满足企业审计合规要求；bot 账号拥有独立权限边界，避免过度授权
• Token 自动化：内置缓存机制（<10ms 返回），支持自动刷新，无需手动管理 1 小时有效期的 GitHub token
• 无缝集成：提供三种 gh CLI 集成模式——shell 函数注入（推荐日常）、PATH shim（容器/CI）、纯配置文件写入；自动重写 SSH URL 为 HTTPS
• 安全存储：支持 OS 密钥环导入私钥（--import-key），避免明文.pem 文件落盘
• LLM 友好：完整的非交互式配置命令，适合脚本化和 AI Agent 自动化部署

潜在局限

• 部署复杂度：需预先创建 GitHub App、获取 App ID / Installation ID / 私钥，入门门槛高于 Personal Access Token
• Token 有效期：GitHub Installation Token 默认可用 1 小时，虽 ghapp 自动处理，但极端长时离线操作可能中断
• 权限粒度：受 GitHub App 权限模型限制，部分高级操作（如删除仓库）可能无法授权
• 平台依赖：gh CLI 的 shell-function 模式依赖 bash/zsh，Windows PowerShell 支持有限

适合人群

• 构建 AI Agent、自动化工作流、DevOps 平台的开发者
• 需要区分「人工操作」与「自动化操作」审计轨迹的企业团队
• 在容器/无服务器环境（如 GitHub Actions、AWS Lambda）中需安全 Git 操作的场景

常规风险

• 私钥泄露：.pem 文件若未使用 --import-key 存入密钥环，存在文件系统窃取风险
• Installation 权限过大：App 被授予的仓库/组织权限即 Token 权限，需遵循最小权限原则
• Token 缓存安全：本地缓存的短期 token 若设备被入侵，在有效期内可被利用（建议配合全磁盘加密）