Sicherer Umgang mit Access Tokens

[buhtz]

Ich beschäftige mich gerade mit PyGithub, eine Python Bibliothek, mit der man GitHubs REST 3 Api nutzen können soll.
Das Problem ist, dass hier viele Funktionen scheinbar nicht ohne "Login" machbar oder praktikabel (github.GithubException.RateLimitExceededException: 403 {"message": "API rate limit exceeded) sind.

Username und Login werden als String in eine Funktion übergeben. Mit Access Tokens wäre es das Selbe.
Aber ich werde diese natürlich nicht im Code hardkodieren. Also wie löst man sowas? Es wird ein einfaches Skript ohne GUI.

Mein Passwort ist ein von einem Passwortmanager überlanger Zeichensalat. Das kann ich unmöglich merken oder gar bei jedem Run eintippen. Ich kann das auch nicht per Copy & Paste aus dem Passwortmanager holen; aus Sicherheitsgründen.

Wie gehen die Erfahreneren mit so einer Situation um?

[tijuca]

Code: Alles auswählen

$ FOO_TOKEN=m3inPass python3 -c "import os; print(os.getenv('FOO_TOKEN'))"
m3inPass

[TRex]

Code: Alles auswählen

python doit.py TRex "$(pass show doit/TRex)"

[buhtz]

Code: Alles auswählen

$ FOO_TOKEN=m3inPass python3 -c "import os; print(os.getenv('FOO_TOKEN'))"
m3inPass

OK, das ist ein Workaround, der mich der Sache näher bringt. Hier wäre das Credential wenigstens während der laufenden Session persistent.

Code: Alles auswählen

python doit.py TRex "$(pass show doit/TRex)"

Sozusagen ein Kommandozeilen Passwortmanager. Fett! Sehe ich zum ersten Mal.

[JTH]

OK, das ist ein Workaround, der mich der Sache näher bringt. Hier wäre das Credential wenigstens während der laufenden Session persistent.

Nur als Hinweis am Rande, das muss je nach Szenario kein Problem sein: Auf dem Wege sind die Werte für jeden Benutzer, jede Anwendung mit ausreichenden/ähnlichen Berechtigungen lesbar:

Code: Alles auswählen

$ THE_TOKEN=s3cret_5tuff sleep 10 &                                                                                                           
$ tr '\0' '\n' </proc/$!/environ | grep THE_TOKEN
THE_TOKEN=s3cret_5tuff

Vergleichbar auch bei der Übergabe als Kommandozeilenargument, da wäre es /proc/$!/cmdline.