Github：如何列出创建了 Private Access Tokens 的组织成员？答案

【问题标题】：Github: How to list organization members who have created Private Access Tokens?Github：如何列出创建了 Private Access Tokens 的组织成员？
【发布时间】：2021-02-06 23:59:15
【问题描述】：

除了向所有人发送电子邮件并询问他们（并希望他们做出回应）之外，我如何获得我组织的哪些成员创建了个人访问令牌的列表？

我对此的直接使用是相当可悲的：Github 仅支持与用户绑定的写访问权限的 API 令牌。在过去的几年里，有些人使用他们的私人访问令牌创建了自动流程；这发生在早期的初创公司中。有时我们会遇到人们在次优条件下离开的问题，可以这么说，当然，当他们的凭据被吊销时，就会出现问题。

【问题讨论】：

标签： github github-api

【解决方案1】：

我不相信 GitHub 提供此信息，因此您必须通过电子邮件询问。

但是，由于 GitHub 不推荐使用 Git 的密码身份验证，几乎每个用户都会有一个 PAT。甚至在此之前，每个使用 HTTPS 的 2FA 都需要它们，并且由于许多组织都需要 2FA，这实际上意味着每个人都会拥有它们，除非他们专门使用 SSH。所以这个问题的答案并没有真正告诉你任何与你的预期目标相关的事情，因为可能的答案是“每个人”。

在这种情况下，我要做的是创建一个机器人或机器帐户，其自己的电子邮件地址与您公司的域相关联，然后使用该帐户单独轮换令牌。如果您需要跟踪哪些已轮换，哪些未轮换，请使用 SHA-256 对您使用机器帐户发布的那些进行哈希处理并将它们存储在一个列表中。如果散列标记在列表中，则它已被轮换；否则，它没有。

【讨论】：

我们早就禁止 https+password 访问以支持 ssh，但这与 PAT 并不真正相关，这是服务如何向 github 进行身份验证的方式（我猜希望它们支持客户端tls 身份验证太多了）。我们已经有一个满足当前需求的“服务”用户，我正在处理的是在我开始用铁拳运行之前的遗留 PAT :)
PAT 可用于 API 访问和 Git 访问。
我最后的解决方法是：我遍历所有用户（除了我！），将他们从组织中删除，然后邀请他们回来。