GitHub CLI додала OAuth-токени зі строком дії: як увімкнути й перевірити інтеграції

Токен, одного разу скопійований у змінну або скрипт, може перестати працювати після завершення строку дії. 21 жовтня 2026 року GitHub оголосила про публічний попередній перегляд OAuth-облікових даних зі строком дії та автоматичним оновленням у GitHub CLI. Режим можна ввімкнути за бажанням; він призначений для робочих процесів, у яких авторизацією керує сама CLI.

Як увімкнути облікові дані з автоматичним оновленням

Потрібна GitHub CLI версії 2.103.0 або новішої. Щоб увійти окремо, додайте прапорець --expiring:

gh auth login --expiring

Щоб під час наступних входів запитувати облікові дані з автоматичним оновленням, виконайте:

gh config set expiring_credentials enabled

CLI зберігає access token зі строком дії разом із rotating refresh token і оновлює облікові дані, коли вони потрібні. Стан авторизації та строк дії поточного токена показує команда gh auth status. Прапорець запитує облікові дані з автоматичним оновленням, але їх видача залежить від можливостей хоста й конфігурації OAuth-застосунку. Якщо сервер їх не підтримує, CLI використовує звичайний токен без строку дії.

Налаштуйте Git як споживача облікових даних

Для репозиторіїв із HTTPS налаштуйте GitHub CLI як Git credential helper:

gh auth setup-git

Тоді Git запитуватиме облікові дані в gh, який зможе оновити їх перед використанням. GitHub рекомендує Git версії 2.46 або новішої: вона дає CLI змогу позначати облікові дані зі строком дії, щоб Git не кешував їх після його завершення. Зі старішою версією GitHub CLI працює, але один раз пропонує оновитися.

Після налаштування перевірте звичайну операцію Git через HTTPS, наприклад отримання стану віддаленого репозиторію. Переконайтеся, що Git отримує облікові дані через helper: так ви перевірите весь шлях авторизації, а не лише вхід у CLI.

Перевірте скрипти й зовнішні програми

Уразливе місце — скрипт або розширення, яке один раз запускає gh auth token, зберігає рядок і повторно використовує його пізніше: такий access token може втратити чинність. Якщо зовнішньому процесу потрібен токен, запитуйте свіжий під час кожного запуску через gh auth token. Сам споживач має вміти використовувати актуальне значення й враховувати строк дії токена.

Перш ніж увімкнути режим у робочому середовищі, перевірте завдання CI, локальні скрипти, розширення редактора й інструменти, що отримують токен зі змінної середовища або файлу конфігурації. З’ясуйте, чи запитують вони актуальне значення під час запуску, чи покладаються на збережену копію. Для процесів, яким потрібен токен із тривалим строком дії, залиште попередню схему авторизації.

Де доступна функція

GitHub оголосила про підтримку на github.com і ghe.com. GitHub Enterprise Server видає такі облікові дані починаючи з версії 3.23; у попередніх версіях запит облікових даних з автоматичним оновленням перемикається на звичайний токен без строку дії. Наразі режим потрібно вмикати добровільно; GitHub планує згодом зробити його стандартним для нових входів.

Практичний порядок дій: оновити GitHub CLI, увімкнути запит облікових даних з автоматичним оновленням, налаштувати Git за допомогою gh auth setup-git і перевірити, чи зовнішні процеси зберігають токен. Це допоможе виявити несумісні сценарії до переходу.

Докладніше GitHub розповіла в анонсі про попередній перегляд і в документації команди gh auth login.