如何为HTTPS预先配置Git访问令牌（Jenkins动态VM场景）

我有一个Jenkins构建流水线，会动态创建Windows虚拟机，克隆包含发布流程工具的仓库，然后使用该仓库中的Python脚本克隆另一个包含实际源代码的私有Github仓库并进行构建。Jenkins流水线负责将Github个人访问令牌提供给虚拟机。

此前我们使用单台专用机器完成此操作（而非动态配置的虚拟机），该机器使用密钥对通过SSH克隆私有仓库。

IT部门不允许我们在动态数量的虚拟机间共享SSH密钥，要求我们改用HTTPS并使用访问令牌。

虽然我可以通过git clone https://{TOKEN}@github.com/{org}/{repo}轻松克隆仓库，但在更新子模块时遇到问题，因为.gitmodules文件配置为使用SSH。

我通过以下步骤取得了一定进展：

• 执行git config --global url."https://github.com/".insteadOf "git@github.com:"配置Git，将SSH URL替换为对应的HTTPS URL。
• 完成配置后克隆仓库时，会弹出GUI提示输入凭证。我输入访问令牌后，仓库克隆成功。（不确定是否重要，当前gitconfig中的credential.credentialStore为dpapi，但我不局限于此。）
• 在克隆的仓库内执行git submodule update --init，由于步骤2已存储访问令牌，此操作成功。

该方法的问题在于必须手动与GUI交互输入访问令牌，无法实现自动化。我需要在执行初始克隆操作前，将访问令牌预先添加为凭证。

• 必须使用HTTPS，不能使用SSH；这是IT部门的强制要求。
• 无法修改.gitmodules使用HTTPS URL，因为这会破坏仍使用SSH认证的开发人员的工作流程。
• 目前无法将Python脚本中的逻辑直接迁移到Jenkins流水线中，这超出当前范围。

如何在执行初始克隆操作前，将Github访问令牌预先配置到凭证或环境中，无需手动输入？我也接受其他可无缝克隆仓库并更新子模块的方案。

最终（基本）有效的方案如下：

• 将凭证助手改为store，避免与GUI交互。
• 发现Git/etc目录下的gitconfig文件将其覆盖为wincredmain，因此我在该文件中修改了助手，而非全局配置。
• 现在可以通过git credential approve并设置protocol=https、host=github.com、username和password预加载凭证。这仍需手动操作，但均通过命令行完成，已是进步。
• 我可以手动将凭证写入%UserProfile%\.git-credentials以重现步骤3的效果，但会在凭证行末尾添加CRLF，导致Git忽略该凭证。我需手动将行尾转换为Unix风格（仅LF），此问题将另开提问。

内容的提问来源于stack exchange，提问作者OmniZ