如何像SSH密钥一样用密码短语存储Github/Gitea认证令牌

方案1：使用Git内置凭证助手对接系统加密密钥链 #

该方案适配Git原生逻辑，无需额外安装工具，可实现HTTP/HTTPS令牌和SSH密钥的加密存储逻辑对齐，所有Git拉取、推送操作无需手动重复输入认证信息：

• 各平台对应配置命令：
  • Windows：新版本Git直接执行 git config --global credential.helper manager-core，令牌会加密存储在Windows凭据管理器，安全等级和密码短语加密的SSH密钥一致
  • MacOS：执行 git config --global credential.helper osxkeychain，令牌加密存储在系统钥匙串，和加密SSH密钥的存储逻辑完全对齐
  • Linux：执行 git config --global credential.helper libsecret，令牌加密存储在GNOME密钥环/KDE钱包，和桌面环境原生加密存储体系打通
• 配置完成后，第一次执行Git推拉操作时输入一次用户名和API令牌，后续所有操作都会自动读取加密存储的凭证，SSH和HTTPS的认证逻辑对用户完全透明，操作方式完全统一。

方案2：GPG加密的.netrc文件方案 #

如果你有跨设备同步凭证的需求，同时要保证加密存储，可以使用GPG加密认证信息，和SSH密钥用密码短语加密的逻辑完全一致：

• 首先创建明文.netrc文件，内容格式如下：

machine github.com
login 你的账号名
password 你的API令牌
machine gitlab.com
login 你的账号名
password 你的API令牌

• 用自己的GPG公钥加密该文件：gpg -e -r 你的GPG密钥ID ~/.netrc，生成.netrc.gpg加密文件后，删除明文.netrc文件
• 配置Git使用加密netrc作为凭证源：git config --global credential.helper "netrc -f ~/.netrc.gpg"
• 每次使用时会要求你输入GPG密码短语解密，和之前输入SSH密钥密码短语的操作逻辑完全一致，所有Git操作入口统一，不会在磁盘留存明文令牌。

方案3：本地SSH代理转HTTPS隧道（进阶方案） #

如果你希望完全复用现有SSH密钥的认证逻辑，不需要单独管理API令牌，可以在本地搭建SSH到HTTPS的代理层：

• 本地启动代理服务，将Git的SSH请求代理转换为对应仓库平台的HTTPS API请求，用你已有的加密SSH密钥做身份校验
• 配置Git的远程仓库地址仍然保留SSH格式，代理会自动完成协议转换和认证，你完全不需要修改现有Git操作习惯，也不需要额外存储令牌。

以上所有方案都不会在磁盘上存储明文认证信息，安全等级和你之前用密码短语加密SSH密钥的逻辑一致，且Git推拉操作不需要区分SSH和HTTPS协议，用户侧操作完全统一。

内容的提问来源于stack exchange，提问作者V_0rigi