使用personal access token时git ls-remote报错的Vercel部署问题

• 不存在无凭证就能访问GitHub私有仓库的情况，你感知到的"不带凭证执行成功"，本质是Git的凭证自动回退机制生效：当你不在Git URL中显式写入凭证时，Git会自动按优先级读取环境中已存储的合法凭证，包括本地Git配置的凭证管理器、系统SSH密钥、CI/CD环境预置的平台授权Token，你看到的无凭证成功，实际是自动用上了环境里的有效凭证。
• 当你在URL中硬编码PAT时，Git会优先使用URL内携带的凭证，不再触发自动凭证查找逻辑。你遇到的凭证报错，说明你硬编码的PAT本身存在问题：要么权限范围不足、要么已过期、要么被Vercel构建环境做了URL转义导致解析错误、要么令牌所属账号没有目标仓库的访问权限。

按优先级推荐以下可落地方案：

• 优先移除package.json中硬编码的PAT
  将依赖声明修改为无凭证格式：

  "dependencies": {
    "my-private-repo": "git+https://github.com/myusename/my-private-repo.git"
  }
  

  Vercel和GitHub有官方授权集成，只要你在Vercel导入项目时，授权了对应私有仓库的访问权限，构建环境会自动注入平台级的有效GitHub凭证，Git拉取依赖时会自动使用该凭证完成鉴权，不会触发权限错误。
• 若上述方案不生效，使用环境变量注入合法PAT
  1. 重新在GitHub生成具备完整repo权限的PAT，确认令牌关联账号已加入目标私有仓库的协作者列表，且令牌未设置过短的有效期
  2. 在Vercel项目的环境变量配置页，新增名为GITHUB_PAT的环境变量，值为刚生成的PAT，作用范围勾选生产/预览/开发环境
  3. 在项目根目录新建.npmrc文件，写入以下配置：

  always-auth=true
  //github.com/:_authToken=${GITHUB_PAT}
  

  该配置会让npm/yarn/pnpm在拉取GitHub域下的Git依赖时，自动读取环境变量中的PAT完成鉴权，避免URL硬编码带来的转义、泄露问题。
• 废弃硬编码PAT的写法
  直接在package.json中写入PAT的方式存在严重安全风险，只要能访问到你代码仓库的人都能拿到可操作你GitHub账号的令牌，同时CI环境对URL特殊字符的转义也很容易导致令牌解析失败，不建议继续使用。

内容的提问来源于stack exchange，提问作者kitta