GitHub on heppoko blog

GitHub CLI (gh auth login) で Git の HTTPS 認証を安全にする

Mon, 11 May 2026 00:00:00 +0900

本記事は Ubuntu 24.04 を前提としています。

きっかけ

git remote -v を眺めていたら、Personal Access Token (PAT) が remote URL に丸ごと埋め込まれている状態になっていました。

origin https://ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxx@github.com/USER/REPO.git (fetch)
origin https://ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxx@github.com/USER/REPO.git (push)

.git/config はリポジトリに含まれないため「push しても外には出ない」ものの、ローカルで露出する経路は意外と多くあります。

シェル履歴 (~/.bash_history ~/.zsh_history)
エディタや CI のログ、画面共有・スクリーンショット
うっかり配布した dotfiles リポジトリ
マルウェアやリモートアクセスで .git/config が読まれる

しかも classic PAT はスコープが粗く、repo 権限があれば private リポジトリ全体の閲覧・書き換え、強制 push による履歴破壊、GitHub Actions secrets の窃取まで可能になります。攻撃者は奪った瞬間には何もせず静かに watch することもできるため、「使われた形跡がない」では安心できません。

これを機に、PAT を URL に埋めず GitHub CLI (gh) の credential helper に任せる構成に切り替えました。

ゴール構成

remote URL は素の https://github.com/USER/REPO.git
認証は gh が credential helper として処理 (トークンは OS のセキュアストア管理)
devcontainer を作り直しても再ログイン不要

手順

1. 露出したトークンを revoke (最優先)

remote URL を書き換える前に、まず GitHub 側でトークンを無効化します。

classic PAT: https://github.com/settings/tokens
fine-grained PAT: https://github.com/settings/personal-access-tokens

該当トークンを Delete した瞬間に無効になります。順序として これを先にやる ことが大切です。後の手順を待っている間に古いトークンが他経路で使われるリスクを断ちます。

2. `gh` をインストール

devcontainer 環境なら ghcr.io/devcontainers/features/github-cli feature で gh がすでに入っています。

ホスト (Ubuntu 24.04) に入れる場合は、以下の記事を参考にしてください。

GitHub CLI (gh) のインストールと基本的な使い方

3. `gh auth login` で認証

gh auth login

対話で以下のように選びます。

? Where do you use GitHub? GitHub.com
? What is your preferred protocol for Git operations? HTTPS
? Authenticate Git with your GitHub credentials? Yes
? How would you like to authenticate GitHub CLI? Login with a web browser

Authenticate Git with your GitHub credentials? → Yes が肝で、これが git config --global credential.helper を gh 経由に書き換えてくれます。以後 git push のたびに gh が裏でトークンを取り出して認証してくれます。

devcontainer のようなヘッドレス環境ではブラウザは自動で開きません。表示される 8 桁のワンタイムコードをコピーし、ホスト側のブラウザで https://github.com/login/device に貼って承認します。

✓ Authentication complete.
✓ Logged in as USER

4. remote URL からトークンを除去

git remote set-url origin https://github.com/USER/REPO.git
git remote -v

トークン部分が消えていれば OK です。git fetch origin がパスワードを聞かれずに通れば認証は機能しています。

5. シェル履歴の残骸を確認

revoke 済みでも、ローカル履歴に残ったトークン文字列は気持ちが悪いものです。

grep -rn 'ghp_' ~/.bash_history ~/.zsh_history 2>/dev/null

ヒットしたら該当行を削除します (history -d <行番号> でメモリ上を消した後、ファイルも編集しておきます)。

devcontainer での認証共有

gh の認証情報は ~/.config/gh/hosts.yml (と OS のセキュアストア) に保存されます。devcontainer をリビルドすると ~/.config/gh が消えて再ログインが必要になるため、ホストの設定を bind mount で共有します。

.devcontainer/devcontainer.json:

"mounts": [
 "source=${localEnv:HOME}/.claude,target=/home/vscode/.claude,type=bind,consistency=cached",
 "source=${localEnv:HOME}/.claude.json,target=/home/vscode/.claude.json,type=bind,consistency=cached",
 "source=${localEnv:HOME}/.config/gh,target=/home/vscode/.config/gh,type=bind,consistency=cached"
]

前提として ホスト側に ~/.config/gh ディレクトリが存在している必要があります (なければ bind mount に失敗します)。ホストにも gh を入れて gh auth login 済みにしておくのが一番シンプルです。事情があってホスト側で gh を使わない場合でも、空ディレクトリだけ作っておけばマウント自体は通ります。

mkdir -p ~/.config/gh # ホスト側で実行

設定変更後は VSCode の Dev Containers: Rebuild Container でリビルドすると反映されます。

補足: SSH 鍵にしないのか

SSH 鍵認証もアリですが、

鍵ファイル自体の管理 (~/.ssh のパーミッション、複数マシン間の同期) が発生します
GitHub Actions など他用途で gh をどのみち使うことが多いです

そのため、個人開発の HTTPS なら gh auth login ひとつに寄せた方がメンテが楽だと感じています。複数アカウントの切替も gh auth switch で済むのが良いところです。

まとめ

PAT を URL に埋めるのは「公開リポジトリに含まれない」だけでローカル経路の露出リスクは大きいです。露出に気付いた時点で revoke が最優先となります。
gh auth login で credential helper を任せれば URL からトークンを排除でき、トークンは OS のセキュアストアに隔離されます。
devcontainer ではホストの ~/.config/gh を bind mount しておくと、リビルドのたびに再ログインしなくて済みます。

GitHub CLI (gh) のインストールと基本的な使い方

Sat, 09 May 2026 00:00:00 +0900

GitHub CLI (gh) は、GitHub が公式に提供しているコマンドラインツールです。

ブラウザを開かなくても、リポジトリの clone、Issue の確認、Pull Request の作成、GitHub Actions の実行状況確認などをターミナルから操作できます。Git と組み合わせて使うと、日常の GitHub 作業をかなり短い導線にできます。

この記事では、Windows と Ubuntu で gh をインストールし、最初に覚えておくと便利な基本コマンドをまとめます。

gh でできること

gh を使うと、たとえば以下のような作業をターミナルから実行できます。

GitHub へのログイン
リポジトリの clone / 作成 / 表示
Issue の一覧表示 / 作成 / 表示
Pull Request の一覧表示 / 作成 / checkout / merge
GitHub Actions の workflow / run の確認
ブラウザで現在のリポジトリや PR を開く

GitHub の画面を見に行く回数を減らせるので、コードを書いている流れを止めにくいのが大きなメリットです。

インストール

Windows にインストールする

Windows では、公式手順として WinGet を使う方法が一番簡単です。

PowerShell または Windows Terminal を開いて、以下を実行します。

winget install --id GitHub.cli

インストール後、ターミナルを開き直して確認します。

gh --version

バージョン情報が表示されればインストール完了です。

アップデートする場合は以下です。

winget upgrade --id GitHub.cli

もし WinGet を使わない場合は、GitHub CLI の Releases ページから MSI インストーラーをダウンロードして導入することもできます。

Ubuntu にインストールする

Ubuntu では、標準の apt リポジトリからそのままインストールできます。

まずパッケージ情報を更新してから、gh をインストールします。

sudo apt update
sudo apt install gh

確認します。

gh --version

アップデートする場合は、通常の apt パッケージと同じです。

sudo apt update
sudo apt install gh

もし apt で見つからない場合や、GitHub CLI の最新版を追いたい場合は、GitHub CLI 公式リポジトリを追加する方法もあります。

type -p wget >/dev/null || (sudo apt update && sudo apt install wget -y)
sudo mkdir -p -m 755 /etc/apt/keyrings
wget -nv -O /tmp/githubcli-archive-keyring.gpg https://cli.github.com/packages/githubcli-archive-keyring.gpg
sudo cp /tmp/githubcli-archive-keyring.gpg /etc/apt/keyrings/githubcli-archive-keyring.gpg
sudo chmod go+r /etc/apt/keyrings/githubcli-archive-keyring.gpg
sudo mkdir -p -m 755 /etc/apt/sources.list.d
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/githubcli-archive-keyring.gpg] https://cli.github.com/packages stable main" | sudo tee /etc/apt/sources.list.d/github-cli.list > /dev/null
sudo apt update
sudo apt install gh

通常利用なら、まずは sudo apt install gh で十分です。

初期設定: GitHub にログインする

インストールできたら、GitHub アカウントでログインします。

gh auth login

対話形式でいくつか質問されます。個人利用で GitHub.com を使うなら、だいたい以下の選択で問題ありません。

? Where do you use GitHub? GitHub.com
? What is your preferred protocol for Git operations? HTTPS
? Authenticate Git with your GitHub credentials? Yes
? How would you like to authenticate GitHub CLI? Login with a web browser

ポイントは、Authenticate Git with your GitHub credentials? で Yes を選ぶことです。これにより、gh だけでなく通常の git push や git fetch の HTTPS 認証も gh に任せられます。

ブラウザが開いたら GitHub にログインして認証します。WSL やサーバー上などブラウザを開きにくい環境では、表示されたワンタイムコードを手元のブラウザで入力して認証します。

ログイン状態は以下で確認できます。

gh auth status

普通の git コマンドでも gh の認証情報は使われる？

使われます。ただし、gh auth login の途中で以下を選んでいることが前提です。

? Authenticate Git with your GitHub credentials? Yes

この設定を有効にすると、gh が Git の credential helper として設定されます。そのため、以下のような普通の Git コマンドでも、gh でログインした認証情報が利用されます。

git fetch origin
git pull
git push origin main

確認するには、Git の credential helper 設定を見ます。

git config --global --get credential.helper

環境によって表示は少し違いますが、gh auth git-credential を使う設定になっていれば OK です。

注意点として、この仕組みが使われるのは基本的に HTTPS の remote URL です。

git remote -v

remote URL が以下のようになっていれば、HTTPS 経由です。

origin https://github.com/OWNER/REPO.git (fetch)
origin https://github.com/OWNER/REPO.git (push)

一方で、git@github.com:OWNER/REPO.git のような SSH の remote URL を使っている場合は、Git の認証は SSH key 側で行われます。この場合でも gh コマンド自体の GitHub API 操作には、gh auth login の認証情報が使われます。

よく使う基本コマンド

ここからは、最初に覚えておくと便利なコマンドです。

リポジトリ操作

リポジトリを clone します。

gh repo clone OWNER/REPO

たとえば GitHub CLI 本体のリポジトリなら以下です。

gh repo clone cli/cli

現在のリポジトリをブラウザで開きます。

gh repo view --web

新しいリポジトリを作成します。

gh repo create

対話形式で公開範囲やローカルディレクトリの扱いを選べます。スクリプト化したい場合は、--public や --private などのオプションを付けて実行できます。

gh repo create my-app --private --source=. --remote=origin

Issue 操作

Issue の一覧を表示します。

gh issue list

Issue の詳細を表示します。

gh issue view 123

Issue を作成します。

gh issue create --title "ログイン画面の文言を修正する" --body "ボタンの表記を変更する"

ブラウザで Issue を開きたい場合は --web を付けます。

gh issue view 123 --web

Pull Request 操作

Pull Request の一覧を表示します。

gh pr list

現在のブランチから Pull Request を作成します。

gh pr create

コミットメッセージやブランチ情報からタイトル・本文を自動入力したい場合は --fill が便利です。

gh pr create --fill

Pull Request の詳細を表示します。

gh pr view 123

Pull Request のブランチをローカルに checkout します。

gh pr checkout 123

レビューや CI の状態を確認します。

gh pr checks 123

マージします。

gh pr merge 123

GitHub Actions 操作

workflow の一覧を表示します。

gh workflow list

実行履歴を表示します。

gh run list

最新の workflow run を確認します。

gh run view

実行中の workflow を待ちます。

gh run watch

失敗したジョブのログを確認する場合は、まず gh run list で run ID を確認してから以下を実行します。

gh run view RUN_ID --log-failed

便利な使い方

現在のページをブラウザで開く

現在のリポジトリを GitHub 上で開きます。

gh browse

Issue や PR の URL を組み立てる必要がないので、地味に便利です。

自分に関係する状況をまとめて見る

自分に関連する Issue、PR、レビュー依頼などを確認できます。

gh status

朝の作業開始時に一度実行すると、見るべきものをざっと把握できます。

エイリアスを作る

よく使うコマンドは短い別名を付けられます。

gh alias set prs 'pr list --author @me'
gh prs

この例では、自分が作成した Pull Request 一覧を gh prs で表示できます。

Windows と Ubuntu で共通して気をつけること

ターミナルを開き直す

Windows ではインストーラーが PATH を更新します。gh が見つからない場合は、Windows Terminal や PowerShell を開き直してください。

Ubuntu でも、インストール後にシェルがコマンドの場所をキャッシュしている場合があります。うまく認識されないときは、ターミナルを開き直すか hash -r を実行します。

Git の認証方式をそろえる

gh auth login で HTTPS を選び、Git の認証にも gh を使う設定にした場合、リモート URL も HTTPS にしておくと扱いやすいです。

git remote -v
git remote set-url origin https://github.com/OWNER/REPO.git

SSH を使いたい場合は、gh auth login の対話で SSH を選び、SSH key の登録も gh に任せることができます。HTTPS と SSH のどちらでも使えますが、チームや自分の環境で片方に寄せておくとトラブルシュートが楽です。

GitHub Enterprise Server を使う場合

会社などで GitHub Enterprise Server を使っている場合は、ホスト名を指定してログインします。

gh auth login --hostname github.example.com

通常の GitHub.com とは認証先が別になるため、gh auth status でどのホストにログインしているか確認しておくと安心です。

まとめ

gh を入れておくと、GitHub 上の操作をターミナルから自然に扱えるようになります。

まずは以下の流れだけ覚えておけば十分です。

gh auth login
gh repo clone OWNER/REPO
gh issue list
gh pr list
gh pr create --fill
gh run list

慣れてきたら gh pr checkout、gh pr checks、gh run watch あたりを使うと、Pull Request と CI の確認がかなり楽になります。