GitHub 宣布 GitHub Desktop 從 3.6.10 版開始，逐步為符合資格的帳戶推出短期認證 token 機制。以往使用者登入 GitHub Desktop 後，取得的是長期有效的認證憑證，如果這組憑證不小心外洩，攻擊者可能可以長時間冒用。這次更新就是為了縮小這個風險的時間窗口。
技術上，使用者登入時系統會核發短期有效的 token，GitHub Desktop 會在背景自動更新，不管是呼叫 GitHub API 還是執行 Git 操作，都會自動套用最新的短期 token，使用者完全不需要手動介入或重新登入。既有的登入狀態在升級後也會自動沿用新機制，不必重新設定。
這類「縮短憑證有效期限」的做法，是近年資安領域很常見的防禦思路，透過降低憑證可被利用的時間，減少一旦洩露造成的損害。不過 GitHub 也說明這項功能是逐步推出，並非所有帳戶立即可用，而且目前 GitHub Enterprise Server 還不支援。
這對正在學程式、未來可能會用 Git 與 GitHub 的孩子是個實用的小知識：帳號登入憑證不是裝了就一輩子安全，背後也有像「有效期限」這樣的設計在保護使用者。了解這些基礎概念，有助於建立良好的資安習慣，例如密碼與金鑰都該定期更新、不要長期使用同一組憑證。
開發工具資安GitHub