トークンを remote URL に埋め込む運用をやめました。古いクローンの .git/config に、誰でも読める権限で残っていました

$ B64=$(printf 'x-access-token:%s' "$TOK" | base64 -w0)
$ git remote set-url origin https://github.com/masakihirokawa/antigravitylab.net.git
$ git -c http.extraheader="Authorization: basic $B64" fetch origin main
From https://github.com/masakihirokawa/antigravitylab.net
 * branch            main       -> FETCH_HEAD
fetch_exit=0          # 所要 0.487 秒
 
$ git -c http.extraheader="Authorization: basic bad" fetch origin main
fatal: unable to access '...': The requested URL returned error: 400
$ grep -c 'ghp_\|github_pat_' .git/config
0

#!/usr/bin/env bash
# repo_owner_preflight.sh <repo-path> <clone-url-without-token> [fallback-root]
# 既存クローンを再利用してよいかを、書き込む前に判定する。
# 終了コード: 0=そのまま使える / 10=別ユーザー所有なので fallback へ clone / 20=壊れていて作り直し
set -u
REPO="${1:?repo path}"; URL="${2:?url}"; FALLBACK="${3:-$HOME/repos}"
ME=$(id -u)
 
if [ ! -d "$REPO/.git" ]; then
  echo "NOCLONE $REPO"; exit 20
fi
 
OWNER=$(stat -c '%u' "$REPO/.git")
if [ "$OWNER" != "$ME" ]; then
  # safe.directory で git の拒否は消せるが、書き込めるようにはならない。ここで切り分ける
  echo "FOREIGN owner_uid=$OWNER me=$ME -> use $FALLBACK/$(basename "$REPO")"
  exit 10
fi
 
# 自分の所有でも、config がロックされていると remote の付け替えで落ちる
if [ ! -w "$REPO/.git/config" ] || [ -e "$REPO/.git/index.lock" ]; then
  echo "LOCKED $REPO/.git (config writable=$([ -w "$REPO/.git/config" ] && echo y || echo n))"
  exit 20
fi
 
# 無言で別リポジトリを指している場合を弾く(資格情報は比較からも表示からも外す)
NOW=$(git -C "$REPO" remote get-url origin 2>/dev/null | sed -E 's#//[^@/]+@#//#')
WANT=$(echo "$URL" | sed -E 's#//[^@/]+@#//#')
[ "$NOW" = "$WANT" ] || { echo "REMOTE_MISMATCH now=$NOW want=$WANT"; exit 20; }
echo "OK $REPO"; exit 0

#!/usr/bin/env bash
# sync_repo.sh <owner/name> <preferred-dir>   ※トークンは環境変数 GH_TOKEN から読む
set -euo pipefail
NAME="${1:?owner/name}"; PREFERRED="${2:?preferred dir}"
URL="https://github.com/${NAME}.git"
AUTH="Authorization: basic $(printf 'x-access-token:%s' "${GH_TOKEN:?GH_TOKEN is empty}" | base64 -w0)"
HERE="$(dirname "$0")"
 
set +e
"$HERE/repo_owner_preflight.sh" "$PREFERRED" "$URL" "$HOME/repos"
RC=$?
set -e
 
case "$RC" in
  0)  DIR="$PREFERRED" ;;
  10) DIR="$HOME/repos/$(basename "$PREFERRED")" ;;   # 別ユーザー所有: 触らずに自分の領域へ
  *)  if [ ! -d "$PREFERRED/.git" ]; then DIR="$PREFERRED"      # まだ無いだけなら、そこへ作る
      else DIR="$HOME/repos/$(basename "$PREFERRED")"; rm -rf "$DIR"; fi ;;   # 壊れていたら自分の領域で作り直す
esac
 
umask 077                                  # 作る .git/config を自分以外に読ませない
mkdir -p "$(dirname "$DIR")"
if [ -d "$DIR/.git" ] && [ "$(stat -c '%u' "$DIR/.git")" = "$(id -u)" ]; then
  git -C "$DIR" remote set-url origin "$URL"            # 過去に埋め込んだ資格情報を落とす
  git -C "$DIR" -c http.extraheader="$AUTH" fetch --depth 1 origin main
  git -C "$DIR" reset --hard origin/main -q
else
  git -c http.extraheader="$AUTH" clone --depth 1 --branch main "$URL" "$DIR"
fi
chmod 600 "$DIR/.git/config"                 # 既存クローンの権限も締める
echo "READY $DIR (preflight rc=$RC)"

$ stat -c '%a' $HOME/repos/antigravitylab.net/.git/config
600
$ grep -c 'ghp_\|github_pat_' $HOME/repos/antigravitylab.net/.git/config
0