如何在无浏览器环境下为代理后的GitHub Git CLI完成SSO认证

以下是几种可行的无浏览器认证机制，适配代理环境下的Git CLI操作：

1. 授权个人访问令牌（PAT） #

这是最简便的方案，只需完成一次离线授权操作：

• 在可正常访问GitHub的环境（如另一台配置好代理的机器）中，生成带仓库操作权限的PAT（勾选repo等必要权限）。
• 进入目标组织的SAML SSO设置页面，找到「Authorize personal access tokens」选项，将刚生成的PAT授权给该组织。
• 回到代理机器，使用HTTPS协议克隆/操作仓库，直接将PAT作为密码（用户名填GitHub账号名）：

  git clone https://<你的GitHub用户名>:<已授权PAT>@github.com/<组织名>/<仓库名>.git
  

• 可通过git config credential.helper store配置凭证缓存，避免重复输入。

2. 授权SSH密钥 #

若习惯使用SSH协议，可通过授权密钥绕过浏览器SSO：

• 在代理机器生成SSH密钥对，将公钥添加到GitHub账号。
• 在可访问GitHub的环境中，进入组织SAML SSO设置，找到「Authorize SSH keys」选项，将该密钥授权给组织。
• 配置SSH代理适配当前环境，在~/.ssh/config中添加：

  Host github.com
    User git
    Hostname github.com
    ProxyCommand nc -x <代理地址>:<代理端口> %h %p
    IdentityFile ~/.ssh/你的密钥文件名
  

• 之后直接用SSH地址操作Git即可，无需浏览器介入：

  git clone git@github.com:<组织名>/<仓库名>.git
  

3. 借助GitHub App（需组织管理员支持） #

若完全无法访问浏览器，可联系组织管理员创建专属GitHub App：

• 管理员创建GitHub App并赋予仓库读写权限，生成App私钥。
• 使用私钥生成短期访问令牌，用于Git CLI认证：

  # 生成JWT（需安装jq和openssl）
  JWT=$(openssl ssa -sign -in <(echo -n '{"iat":'$(date +%s)',"exp":'$(($(date +%s)+600))',"iss":<AppID>}') -out - -signkey <私钥文件> | base64 | tr -d '\n')
  # 获取访问令牌
  TOKEN=$(curl -X POST -H "Authorization: Bearer $JWT" -H "Accept: application/vnd.github.v3+json" https://api.github.com/app/installations/<安装ID>/access_tokens | jq -r '.token')
  # 使用令牌克隆仓库
  git clone https://x-access-token:$TOKEN@github.com/<组织名>/<仓库名>.git
  

• 此方案无需浏览器授权，但依赖管理员配置。

注意：所有方案中，PAT/SSH密钥的组织授权操作仅需执行一次，完成后代理机器上的Git CLI即可长期使用对应凭证操作仓库。

内容的提问来源于stack exchange，提问作者toto'