개발 뉴스 · 2026.10.22
GitHub CLI 2.103.0, 만료형 OAuth 토큰 미리보기…자동화 점검할 부분
GitHub CLI 인증 방식에 만료·자동 갱신 자격 증명 선택지가 추가됐다. 기존 자동화의 토큰 저장 방식은 점검이 필요하다.
GitHub CLI 인증에 달라진 점
GitHub는 2026년 10월 21일 GitHub CLI 2.103.0부터 gh auth login --expiring 옵션으로 만료형 OAuth 자격 증명을 선택할 수 있다고 발표했다. 이 기능은 공개 미리보기이며 기본 활성화가 아닌 선택형이다. 접근 토큰은 일정 시간이 지나면 만료되지만 CLI가 필요할 때 갱신하도록 설계됐다.
자동 갱신 토큰과 기존 스크립트
OAuth refresh token을 활용하는 방식에서는 애플리케이션이 토큰을 매번 필요할 때 가져와야 한다. Git token 자동화 스크립트가 gh auth token 출력값을 한 번 저장하고 계속 재사용한다면 나중에 만료로 실패할 수 있다. 오래 유지되는 토큰이 필요한 기존 배치는 도입을 서두르기 전에 영향도를 점검해야 한다.
HTTPS Git 연결 권장 구성
GitHub는 HTTPS Git 작업에 gh auth setup-git을 사용해 CLI를 자격 증명 도우미로 연결하는 방식을 권장한다. Git 2.46 이상은 만료 자격 증명의 캐싱을 더 적절히 처리하도록 권장된다. 그러나 실제 동작은 로컬 도구 버전과 서버 환경에 따라 달라질 수 있으므로 운영 전 시험해야 한다.
지원 범위와 단계적 도입
GitHub의 설명에 따르면 github.com과 ghe.com에서 사용할 수 있고, GitHub Enterprise Server는 3.23 이상에서 만료 토큰을 발급할 수 있다. 미지원 서버에서는 기존 방식으로 대체한다. 사용자별 개발 환경에서 gh auth status로 상태를 점검한 뒤, CI·배치의 토큰 재사용 여부를 확인하는 것이 안전하다.
기존 자동화 전환 전 점검 순서
개발 PC에서 GitHub CLI와 Git 버전을 확인하고, 만료형 토큰을 선택할 테스트 계정을 운영 계정과 구분한다. 현재 인증 상태를 확인하되 자격 증명 문자열을 로그나 문서에 남기지 않는다.
스크립트에서 gh auth token을 읽어 변수·파일·CI 비밀값으로 장기간 재사용하는 부분을 검색한다. 이런 경로는 토큰 만료 후 실패할 수 있으므로 재인증과 오류 처리 흐름을 시험해야 한다.
HTTPS Git 작업은 자격 증명 도우미 설정 후 별도 테스트 저장소에서 clone, fetch, push 순으로 확인한다. 테스트 성공만으로 모든 GitHub Enterprise Server 버전까지 호환된다고 단정하지 않는다.
인증 토큰 전환 시 회귀 점검 순서
먼저 대화형 로그인과 자동화 실행의 인증 경로를 따로 그린다. 어떤 실행 환경에서 토큰을 발급하고 저장하며 갱신하는지, 토큰 만료가 어느 작업 단계에서 오류로 드러나는지를 기록해야 한다.
새 인증 설정을 배포하기 전 테스트 환경에서 정상 실행과 토큰 만료 상황을 모두 시험하고, 오류 시 재인증·재시도 방식이 권한을 과도하게 확장하지 않는지 검토한다. 로그에 토큰 값 자체가 남지 않도록 점검한다.
공식 출처와 검증 범위
아래 출처는 본문에 언급된 공개 발표 및 제품 문서를 확인하기 위한 링크다. 계정별 가격·사용 가능 지역·현장 성능과 운영 사이트 내 중복 여부는 별도로 검증해야 한다.
만료형 토큰 적용 시 자동화 호환성 확인
GitHub 공식 변경 내역에 따르면 만료형 자동 갱신 OAuth 자격 증명은 GitHub CLI 2.103.0부터 공개 미리보기로 선택 적용한다. gh auth login --expiring 또는 설정을 통한 옵트인이 필요하며 기존 로그인이 일괄 전환되는 것은 아니다. gh auth token 결과를 장기간 저장하는 스크립트는 만료 시 실패할 수 있으므로 호출 시마다 최신 토큰을 가져오는 방식으로 점검한다. HTTPS Git 인증에는 gh auth setup-git 사용과 Git 2.46 이상 업그레이드가 권장된다.
환경변수 토큰은 자동 갱신 대상이 아니다
GitHub 공식 변경 내역은 gh auth login --expiring으로 저장한 만료형 OAuth 자격 증명과, 환경변수로 직접 전달한 GH_TOKEN·GITHUB_TOKEN을 구별한다. GH_TOKEN이나 GITHUB_TOKEN으로 제공된 토큰은 GitHub CLI가 자동 갱신하지 않는다. CI에서는 발급·만료 관리 주체를 명확히 하고, 환경변수 자격 증명이 자동으로 갱신될 것으로 가정하지 않아야 한다.
만료형 인증을 배포 파이프라인에 적용하기 전 점검
GitHub 공식 문서에 따르면 만료·자동 갱신 OAuth 자격 증명은 GitHub CLI v2.103.0 이상에서 사용자가 명시적으로 선택해야 한다. `gh auth login --expiring`으로 로그인하거나 `gh config set expiring_credentials enabled`로 기본 설정을 지정하며, 서버가 만료형 토큰을 지원하는지에 따라 실제 발급 결과가 달라진다.
자동 갱신되는 것은 GitHub CLI가 관리하는 OAuth 자격 증명이다. CI에서 `GH_TOKEN` 또는 `GITHUB_TOKEN` 환경변수로 직접 주입한 토큰이나 `gh auth token` 출력값을 파일에 저장한 스크립트까지 자동으로 회전하는 것으로 해석해서는 안 된다. 해당 스크립트는 토큰을 실행 시점에 다시 읽거나 별도 발급·폐기 정책을 점검해야 한다.
근거 자료 확인
