调用GitHub API时，如何在终端输入Token且不留下历史记录？

这问题问得很到位，公用电脑上明文输入Token确实风险很高——毕竟shell历史、输入回显都可能泄露凭证。我给你几个实用的方案，都能避免留下明文痕迹：

1. 用终端的隐藏输入命令（Bash/Zsh/PowerShell） #

这是最直接的本地解决方案，利用终端的「不回显输入」功能，让你输入Token时屏幕上看不到任何字符，而且输入内容不会被记录到shell历史里。

针对 Bash/Zsh： #

用read -s命令读取Token到临时变量，之后调用API时直接用这个变量：

# 读取Token到变量，输入时无回显
read -s -p "Enter GitHub Token: " GITHUB_TOKEN
# 换行（因为read -s不会自动换行）
echo
# 调用GitHub API，比如获取当前用户信息
curl -H "Authorization: token $GITHUB_TOKEN" https://api.github.com/user
# 用完后清空变量（可选，但更安全）
unset GITHUB_TOKEN

解释：-s参数让输入不回显，-p是提示文本。变量GITHUB_TOKEN只在当前shell会话中存在，关闭终端就会消失，也不会出现在历史记录里。

针对 PowerShell： #

用Get-Credential获取凭证，提取Token后使用：

$cred = Get-Credential -Message "Enter GitHub Token (username can be anything)"
# GitHub API接受任意用户名+Token的组合，所以用户名随便填就行
$token = $cred.GetNetworkCredential().Password
Invoke-RestMethod -Uri "https://api.github.com/user" -Headers @{Authorization = "token $token"}
# 清空变量
Remove-Variable cred, token

Get-Credential会弹出一个安全输入框，输入的内容不会显示，也不会被记录到PowerShell历史中。

2. 临时环境变量配合隐藏输入 #

如果你习惯用环境变量传递凭证，可以把Token临时设为环境变量，但同样要避免明文输入：

# 先隐藏读取Token
read -s -p "Enter GitHub Token: " GITHUB_TOKEN
# 临时导出为环境变量，仅当前会话有效
export GITHUB_TOKEN
# 调用API时，curl会自动读取这个环境变量（GitHub API支持这种方式）
curl -H "Authorization: token $GITHUB_TOKEN" https://api.github.com/user
# 用完后取消导出并清空
unset GITHUB_TOKEN

注意：不要直接在命令行输入export GITHUB_TOKEN=your_token，这样会被记录到shell历史里，完全违背安全初衷。

3. 用GitHub CLI（gh）简化操作 #

如果你经常需要调用GitHub API，推荐用官方的GitHub CLI工具，它会帮你安全管理凭证，完全不用手动输入Token：

1. 先安装gh（公用电脑如果允许的话，或者用便携版）
2. 执行登录命令：

   gh auth login
   

   选择「GitHub.com」，然后选择「HTTPS」，最后选择「Token」作为登录方式——这里输入Token时同样是隐藏的，而且gh会把凭证安全存储（不会明文保存）。
3. 之后调用API时，直接用gh api命令，它会自动使用已存储的凭证：

   gh api user
   

4. 用完后记得注销，清除公用电脑上的凭证：

   gh auth logout
   

这个方案不仅安全，还省去了手动构造请求头的麻烦，体验更好。

额外注意事项 #

• 绝对不要把Token写到任何配置文件（比如.bashrc、.zshrc）里，公用电脑上别人很容易看到。
• 不要用echo $GITHUB_TOKEN之类的命令输出Token，避免泄露。
• 每次用完后尽量清空变量或关闭终端会话，确保Token不会留在内存中。

内容的提问来源于stack exchange，提问作者o_yeah