核心用法
ghapp 是一款命令行工具，专为需要以 GitHub App 身份执行自动化操作的场景设计。它通过 GitHub App 的安装令牌（Installation Token）替代个人访问令牌（PAT），使 git 和 gh CLI 命令能够以独立的 bot 身份运行。
典型工作流：
1. 在 GitHub 创建 App 并获取 App ID、Installation ID 和私钥（.pem）
2. 运行 ghapp setup 完成交互式配置
3. 使用 ghapp auth configure 选择认证模式（shell-function / path-shim / none）
4. 后续 git push/pull 和 gh 命令自动使用 bot 身份
三种认证模式：
shell-function：通过 shell 函数拦截gh调用（推荐，开发环境）path-shim：生成包装器二进制文件（适合 CI/容器）none：静态写入hosts.yml（简单但安全性较低）
显著优点
1. 身份隔离：提交记录显示 appname[bot] 而非个人邮箱，符合企业合规审计要求
2. 权限精细化：GitHub App 可独立配置仓库级权限，避免 PAT 的过度授权风险
3. 令牌自动管理：安装令牌 1 小时过期，工具自动缓存和刷新，无需手动轮换
4. 无缝集成：对现有 git/gh 工作流零侵入，配置后透明运行
5. 企业级安全：私钥本地存储，令牌不落盘（内存缓存），支持多安装点切换
潜在缺点与局限性
1. 初始配置门槛：需理解 GitHub App 与 OAuth App 的区别，涉及 App ID、Installation ID 等概念
2. shell 环境依赖：shell-function 模式需修改 shell 配置（.zshrc 等），可能与其他工具冲突
3. CI 场景受限：部分托管 CI 环境难以持久化 shell 函数，需改用 path-shim 模式
4. 单点故障：配置存储于 ~/.config/ghapp/config.yaml，误删除需重新 setup
5. 社区规模较小：由 operator-kit 维护，非 GitHub 官方项目，长期支持存疑
适合人群
- AI Agent 开发者：为自动化工具赋予独立身份，避免混淆人机操作
- DevOps/平台工程师：构建安全的 CI/CD 流水线，替代高危 PAT
- 开源维护者：自动化发布、changelog 生成等 bot 操作
- 企业安全团队：满足最小权限原则和审计追溯要求
常规风险
| 风险项 | 说明 | 缓解措施 |
|--------|------|---------|
| 私钥泄露 | `.pem` 文件泄露可导致 App 被冒用 | 使用密钥管理服务（如 AWS Secrets Manager），文件权限设为 600 |
| 令牌缓存安全 | 本地缓存文件可能被其他进程读取 | 确保 `~/.config/ghapp` 目录权限严格，容器场景使用 tmpfs |
| 权限过度配置 | App 申请过多权限被恶意利用 | 遵循最小权限原则，仅授予必要仓库的 `contents:write` 等权限 |
| 供应链攻击 | 通过 brew 安装时依赖第三方 tap | 校验 release checksum，考虑从源码构建 |
总体而言，ghapp 是解决 "bot 身份认证" 痛点的专业工具，适合已采用 GitHub App 架构的成熟团队，新手需预留学习成本。