GitHub CLI přidává OAuth tokeny s omezenou platností: jak je zapnout a ověřit integrace

Token jednou zkopírovaný do proměnné nebo skriptu může po vypršení platnosti přestat fungovat. GitHub 21. října 2026 oznámil veřejné preview přihlašovacích údajů OAuth s omezenou platností a automatickým obnovováním v GitHub CLI. Režim se zapíná dobrovolně a je určen pro pracovní postupy, v nichž autorizaci spravuje samotná CLI.

Jak zapnout obnovované přihlašovací údaje

Potřebujete GitHub CLI verze 2.103.0 nebo novější. Pro jednotlivé přihlášení přidejte příznak --expiring:

gh auth login --expiring

Chcete-li požadavek na obnovované přihlašovací údaje zapínat i při dalších přihlášeních, spusťte:

gh config set expiring_credentials enabled

CLI ukládá přístupový token s omezenou platností spolu s rotujícím obnovovacím tokenem a přihlašovací údaje obnoví, když jsou potřeba. Stav ověření a platnost aktuálního tokenu zobrazí příkaz gh auth status. Příznak vyžádá obnovované přihlašovací údaje; jejich vydání závisí na možnostech hostitele a konfiguraci aplikace OAuth. Pokud je server nepodporuje, CLI použije běžný token bez omezené platnosti.

Nastavte Git jako příjemce přihlašovacích údajů

Pro repozitáře používající HTTPS nastavte GitHub CLI jako Git credential helper:

gh auth setup-git

Git pak vyžádá přihlašovací údaje od gh, který je může před použitím obnovit. GitHub doporučuje Git verze 2.46 nebo novější: umožňuje CLI označit přihlašovací údaje s omezenou platností, takže je Git nebude ukládat do mezipaměti po vypršení jejich platnosti. Se starší verzí GitHub CLI funguje, ale jednou nabídne aktualizaci.

Po nastavení ověřte běžnou operaci Gitu přes HTTPS, například načtení stavu vzdáleného repozitáře. Ujistěte se, že Git získává přihlašovací údaje prostřednictvím helperu: tím otestujete celý proces ověření, nejen přihlášení do CLI.

Zkontrolujte skripty a externí aplikace

Rizikovým místem je skript nebo rozšíření, které jednou spustí gh auth token, uloží jeho výstup a později jej znovu použije: takový přístupový token může vypršet. Pokud externí proces potřebuje token, vyžádejte při každém spuštění nový pomocí příkazu gh auth token. Samotný příjemce musí umět použít aktuální hodnotu a počítat s vypršením tokenu.

Před zapnutím režimu v pracovním prostředí zkontrolujte úlohy CI, lokální skripty, rozšíření editoru a nástroje, které získávají token z proměnné prostředí nebo konfiguračního souboru. Zjistěte, zda při spuštění žádají o aktuální hodnotu, nebo spoléhají na uloženou kopii. Pro procesy, které potřebují token s dlouhou platností, ponechte dosavadní způsob ověřování.

Kde je funkce dostupná

GitHub oznámil podporu na github.com a ghe.com. GitHub Enterprise Server vydává tyto přihlašovací údaje od verze 3.23; ve starších verzích se požadavek na obnovované údaje přepne na běžný token bez omezené platnosti. Režim se zatím zapíná dobrovolně; GitHub plánuje, že se časem stane výchozím nastavením pro nová přihlášení.

Praktický postup: aktualizujte GitHub CLI, zapněte požadavek na obnovované přihlašovací údaje, nastavte Git pomocí gh auth setup-git a ověřte, zda externí procesy neukládají token. Tak lze odhalit nekompatibilní scénáře ještě před přechodem.

Podrobnosti GitHub zveřejnil v oznámení veřejného preview a v dokumentaci k příkazu gh auth login.