ReadyAPI能否将OAuth2 Token存储于用户私有空间避免提交Git？

• 方案1：开启用户级安全凭证隔离
  打开ReadyAPI顶部菜单栏的File > Preferences > Auth，勾选Store sensitive auth data in user profile选项。开启后所有OAuth2令牌、API密钥这类敏感认证信息只会存储在当前系统用户的个人配置目录，项目目录下的settings.xml只会保留无敏感信息的认证配置占位符，不会写入实际令牌值，完全不影响其他公共配置项的Git提交。这个配置是本地用户级的，每个团队成员在自己设备上设置一次即可生效，不会同步到Git仓库。

• 方案2：绑定用户专属项目属性存储令牌
  如果使用的是旧版本ReadyAPI没有上述开关，可以把令牌值配置为用户专属属性：

  1. 打开项目属性面板，新建OAuth2令牌相关属性，勾选User-specific选项，这类属性的值只会存在本地用户配置中，不会写入项目文件夹下的任何文件
  2. 编辑项目的OAuth2认证配置，将令牌、刷新令牌字段全部替换为对应属性的引用，格式为${#Project#<你的属性名>}，不要直接在认证配置里填写实际令牌值
     这种方式下settings.xml里只会保留属性引用，不会出现明文令牌，其他公共配置可以正常提交。

• 方案3：配置Git定向过滤规则
  如果你需要保留现有配置逻辑不改动，可以给Git配置内容过滤，提交时自动剔除settings.xml里的令牌字段：

  1. 在项目本地.git/config里添加过滤配置：

     [filter "remove-oauth-token"]
     clean = "sed -e 's/<accessToken>[^<]*<\\/accessToken>/<accessToken><\\/accessToken>/g' -e 's/<refreshToken>[^<]*<\\/refreshToken>/<refreshToken><\\/refreshToken>/g'"
     

  2. 在项目根目录的.gitattributes文件里添加规则：

     settings.xml filter=remove-oauth-token
     

  配置生效后，每次提交settings.xml时Git会自动把令牌字段的内容清空，本地文件里的令牌不会被提交，其余配置项不受影响，Windows环境可以将sed替换为powershell对应文本处理命令即可。

• 方案4：动态获取令牌不做持久化
  最稳妥的零敏感信息存储方案是在项目的Setup Script里添加Groovy脚本，每次启动项目、运行测试前自动调用OAuth2授权接口获取令牌，注入到请求上下文供所有接口调用，全程不需要在配置里保存固定令牌，从根源上避免敏感信息落盘到项目配置文件。

注意：不建议直接将整个settings.xml加入.gitignore，会导致公共环境配置、接口通用参数、项目级规则等团队需要共享的配置无法同步。

内容的提问来源于stack exchange，提问作者johnmcase