如何为单个SSH密钥限制GitHub仓库访问权限，无需多账号？

以下是几个无需创建多账号、也不需要客户开放仓库设置权限的实用方案：

1. SSH配置文件+专属密钥映射 #

在客户服务器的~/.ssh/config中配置多Host条目，为每个客户的仓库绑定独立SSH密钥，实现密钥与客户资源的一一隔离：

# 客户A仓库专属配置
Host github.com-clientA
  HostName github.com
  User git
  IdentityFile ~/.ssh/id_rsa_clientA
  IdentitiesOnly yes  # 强制使用指定密钥，避免自动尝试其他密钥

# 客户B仓库专属配置
Host github.com-clientB
  HostName github.com
  User git
  IdentityFile ~/.ssh/id_rsa_clientB
  IdentitiesOnly yes

操作步骤：

• 为每个客户生成单独的SSH密钥（ssh-keygen -t rsa -f ~/.ssh/id_rsa_clientA）
• 让客户将对应密钥添加到他们的GitHub组织/仓库授权列表（比如添加到团队成员的SSH密钥，或作为仓库部署密钥）
• 访问仓库时使用配置的Host别名，例如：git clone git@github.com-clientA:clientA-org/private-repo.git

优势：完全在服务器本地配置，无需修改你的GitHub账号权限，从根源避免跨客户访问风险。

2. 仓库级Personal Access Token (PAT) #

使用GitHub的仓库级PAT（HTTPS方式），为每个客户生成仅授权访问其仓库的令牌：

操作步骤：

• 在你的GitHub账号创建PAT时，选择「仅特定仓库」权限，指定对应客户的仓库
• 在客户服务器上，将仓库的remote URL替换为包含PAT的格式：https://<你的PAT>@github.com/clientA-org/private-repo.git
• 可使用git config credential.helper store（仅限可信服务器）保存凭证，避免重复输入

优势：不需要客户开放仓库设置，只要客户将你的GitHub账号添加到目标仓库并授予读权限即可，PAT权限严格限定在指定仓库，不会泄露其他客户数据。

3. 让客户部署GitHub App #

请求客户在其GitHub组织中创建并安装GitHub App，为你分配仅访问指定仓库的权限：

• 客户创建GitHub App时，设置权限范围为所需的仓库操作（比如只读权限）
• 客户将App安装到目标仓库，生成安装令牌后提供给你
• 你通过设置GITHUB_TOKEN环境变量，使用该令牌访问仓库

优势：权限由客户完全管控，无需你接触仓库设置页，且App权限可随时调整，安全性更高。

内容的提问来源于stack exchange，提问作者vijayvithal