使用 API 在 GitHub 存储库中创建 Javascript 文件时的授权

Question

我的目标是用一个简单的按钮创建一个带有 GitHub 页面的 static 页面。

当我按下这个按钮时，我想在同一个存储库中创建一个文件，在用于 GitHub 页面的同一个分支中。

我读了一些关于在获取请求中使用的授权令牌来创建文件，所以我创建了我的令牌，我把它放入我用来访问存储库的 GitHub 页面的 index.html 中。

很快我收到了来自 GitHub 的 email 告诉我这个令牌已被撤销。

该政策在此处描述： https://github.blog/2015-02-05-keeping-github-oauth-tokens-safe/

我现在的问题是：我怎样才能完成这项任务？

我使用的代码片段如下：

async function createNewFileFunction() {
    const user =  { name:  'XXX', surname:  'YYY'  };
    const token = 'ghp_abcdefghijklmnopqrstuvwxyz1234567890';
    const api_url = "https://api.github.com/repos/my_account/my_repo/contents/test.txt?ref=gh-pages";
    
    try {
        const response = await fetch(api_url, {
                                                   method: 'POST',
                                                   headers: {
                                                                 'Authorization': `token ${token}`,
                                                                 'Content-Type': 'application/json;charset=utf-8'
                                                            }, 
                                                   body: JSON.stringify(user)
                                               }
                                            );
        console.log(await response.json());
        } catch (error) {
            console.log('Request Failed', error);
        }
    }

Answer 1

您将令牌放入index.html文件中，这意味着全世界都可以看到令牌。 这就是您在公开令牌时收到 GitHub 消息的原因。

GitHub 页面不支持后端代码。 这意味着一切都是公开的。 您不能使用 GitHub 页面来支持需要令牌的方法。 页面中的代码在用户的浏览器中执行。 您将需要实现后端代码或使用 GitHub 身份验证。

后端代码可以是 web 服务器、云 function（如 AWS Lambda）或其他几个服务。 但是，如果您不使用授权，这将存在安全漏洞，因为任何人都可以调用您的后端端点。

查看 GitHub 身份验证的这些链接。

GitHub：认证基础

GitHub认证