如何在多人可访问的共享机器上安全git clone GitHub仓库？

下面是经过验证的安全操作方式，可完全避免凭证泄露、保障你账号下其他私有仓库的安全：

• 方案1：使用仓库专属部署密钥（Deploy Key，推荐长期部署场景）
  部署密钥是仅针对单个仓库生效的SSH密钥，天然隔离你账号下的其他仓库权限：
  1. 在你自己的本地设备生成独立的SSH密钥对，不要复用日常使用的SSH密钥
  2. 把公钥添加到目标仓库的「Deploy keys」设置中，不要勾选「Allow write access」，仅配置只读权限，即使密钥泄露也只能拉取当前仓库代码，无法访问其他仓库、也不能修改当前仓库内容
  3. 将私钥传到共享机器，存到仅你有读权限的路径，例如~/.ssh/deploy_repo_rsa，执行chmod 600 ~/.ssh/deploy_repo_rsa锁死权限，避免其他用户读取
  4. 克隆时指定该密钥即可，命令参考：
     GIT_SSH_COMMAND="ssh -i ~/.ssh/deploy_repo_rsa" git clone git@github.com:你的用户名/目标仓库名.git
  5. 如果不需要后续拉取更新，克隆完成后直接把私钥从共享机器删除即可彻底消除风险
• 方案2：使用细粒度只读PAT，适合HTTPS克隆场景
  专门生成最小权限的访问令牌，避免全账号权限泄露：
  1. 在GitHub账号的开发者设置中生成细粒度PAT，仅授权访问本次需要部署的单个仓库，权限仅勾选代码只读
  2. 克隆时直接把PAT拼接在克隆URL中，执行命令：
     git clone https://<你的细粒度PAT>@github.com/你的用户名/目标仓库名.git
  3. 克隆完成后立刻去GitHub后台删除该PAT，就算凭证被缓存到共享机器，失效的令牌也没有任何作用
• 方案3：本地打包传输，适合临时部署/朋友机器部署场景
  完全不需要在目标机器上操作任何GitHub凭证，是最省心的安全方案：
  在你自己的本地设备上把对应版本的代码打包成压缩包，可用git archive命令导出不带Git历史的代码包，或者直接打包完整仓库目录，通过scp、U盘等安全方式传输到目标机器解压即可，全程不会泄露任何账号凭证。

• 不要在共享机器上登录你的GitHub个人账号，也不要复用任何日常使用的凭证
• 如果使用HTTPS克隆，提前执行git config --global credential.helper ""关闭凭证缓存功能，避免凭证被自动存储
• 如果需要后续持续拉取更新，优先使用部署密钥方案，不要在共享机器留存任何拥有全账号权限的凭证

内容的提问来源于stack exchange，提问作者kav