应用开发中如何存储供程序使用的GitHub PAT（个人访问令牌）

• 优先复用系统原生凭证存储，这是行业通用最佳实践
  原生Git默认就是将PAT存储在各系统的官方凭证管理组件中（Windows Credential Manager、macOS钥匙串、Linux libsecret凭证库），优先读取这部分已经存储的凭证，既避免用户重复输入，安全性也远高于自行实现的存储方案，完全符合用户的使用习惯。
  实现层面不需要自行适配不同系统，直接使用成熟的跨平台npm包keytar即可，它封装了三个系统的凭证读写接口，无需额外开发兼容逻辑。也可以直接通过child_process调用本地Git的git credential fill命令获取凭证，不需要依赖任何第三方包，兼容性更强，只要用户本地安装了Git就能正常使用。
• 如确需自行存储PAT，严格遵循以下安全规则
  1. 存储位置必须放在用户主目录下的应用专属隐藏目录中：Windows路径为C:/Users/当前用户名/.你的应用名/，macOS/Linux路径为~/.你的应用名/，禁止将凭证文件放在仓库目录下，即便添加.gitignore也存在误提交泄露的风险。
  2. 绝对不能明文存储PAT，必须使用系统级加密接口加密后再写入文件：Windows用DPAPI加密，macOS用Security框架加密接口，Linux用libsecret加密，不要自行实现加密逻辑，也不要将加密密钥硬编码在应用代码中，确保凭证文件被窃取后无法在其他设备或其他用户环境下解密。
  3. 存储目录和凭证文件的权限必须设置为仅当前用户可读可写：Linux/macOS下设置权限为0700（目录）和0600（文件），Windows下移除所有其他用户的访问权限，仅保留当前用户的读写权限。

内容的提问来源于stack exchange，提问作者Tal