GitHub Apps получили новые разрешения для работы с минимальными привилегиями

GitHub 13 октября представил набор обновлений для GitHub Apps. Разработчики смогут создавать репозитории и управлять доступом приложений без выдачи части широких административных прав. Компания также добавила поддержку `offline_access` и вынесла учетные данные приложений в отдельную вкладку Credentials.

Два разрешения с более узкими правами

Новое разрешение `repository_creation:write` позволяет создавать репозитории без `repository_administration:write`. Ранее второе разрешение открывало дополнительные административные возможности, включая удаление и передачу репозитория.

Приложение с новым разрешением по-прежнему должен установить администратор организации. После создания репозитория доступ к нему получает приложение или пользователь, выполнивший операцию.

Разрешение `installation_repositories:write` предназначено для добавления репозитория в установленное приложение и удаления из него. При использовании пользовательского токена вызывающий API пользователь также должен быть владельцем организации либо администратором соответствующего репозитория.

Разрешение	Доступная операция
`repository_creation:write`	Создание репозитория без полного набора административных прав
`installation_repositories:write`	Добавление и удаление репозитория в установке GitHub App

Оба разрешения доступны для GitHub Apps и fine-grained personal access tokens.

Администраторы репозиториев смогут подключать одобренные приложения

GitHub смягчил ограничение для приложений, которым нужен доступ на уровне организации. Если владелец организации уже установил и одобрил такое приложение, администратор репозитория сможет добавить к существующей установке свой репозиторий без повторного согласования.

Организации, которым нужен более строгий порядок, сохраняют возможность разрешить установку GitHub Apps только владельцам организации.

Истекающие токены и новая вкладка Credentials

GitHub Apps теперь поддерживают область `offline_access`. Вместе с истекающим токеном доступа приложение получает refresh token. Это позволяет разработчикам постепенно переводить пользователей на краткоживущие токены, не меняя одновременно все действующие сеансы. Поддержка появится в GitHub Enterprise Server 3.23.

Учетные данные GitHub Apps перенесены в отдельную вкладку Credentials. Остальные заявленные улучшения планируются для GitHub Enterprise Server 3.24.

Проверка интеграций перед миграцией

Командам стоит сопоставить текущие права приложений с двумя новыми разрешениями и проверить, можно ли отказаться от `repository_administration:write`. При тестировании `offline_access` нужно отдельно убедиться, что клиент корректно сохраняет refresh token, обновляет истекающий токен и не меняет параметры других пользовательских сеансов.