一句话看懂：GitHub Desktop 3.6.10 及更高版本开始为符合条件的账户签发短时效、自动刷新的认证令牌，目标是缩短令牌一旦泄露可被利用的时间。
事件核心：发生了什么
据 GitHub Changelog，GitHub Desktop 3.6.10 或更高版本的用户在登录时，符合条件的账户将获得短时效认证令牌。这类令牌会自动刷新，GitHub Desktop 会替用户在 GitHub API 请求和 Git 操作中完成续期，不需要用户手动处理。目前该能力正在 github.com 以及 GitHub Enterprise Cloud 上逐步推进，尚未对所有用户开放；GitHub Enterprise Server 不在此次覆盖范围内。升级后已有登录会话保持有效，旧令牌不会自动迁移，短时效令牌只会在用户的一次新登录中签发，前提是该安装已进入分批推送范围。
为什么重要
认证令牌是开发者工具链中权限较高的凭证，一旦从本地环境、日志或构建流程中泄露，攻击者可以在令牌有效期内调用 GitHub API 或执行 Git 操作。把令牌有效期缩短到较短窗口，相当于压缩泄露后的可利用时间，同时把续期成本转移到客户端。这种做法在开发者工具里并不新鲜，但 GitHub Desktop 把它做成默认登录体验的一部分，意味着更多桌面端开发者会在无感情况下获得更细粒度的凭证管理。对企业团队而言，这也是身份安全从“长期静态凭据”向“短周期自动轮换”迁移的一个具体落点。
对用户/开发者/创作者的影响
普通用户和创作者基本不需要改变使用习惯，登录和日常提交仍由 GitHub Desktop 自动处理。开发者需要留意的是：旧令牌不会自动迁移，只有在分批推送到达对应安装后重新登录，才会拿到短时效令牌；如果团队依赖脚本或第三方工具复用 Desktop 的凭证，应确认这些工具能否适应自动刷新逻辑。使用 GitHub Enterprise Server 的团队暂时不受影响，企业云用户则会和 github.com 一起进入灰度推送。目前公开信息显示，这一改动没有涉及令牌权限范围或计费方式的变化。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
第一，观察分批推送的覆盖节奏，以及是否有用户反馈登录或刷新异常。第二，关注旧令牌不自动迁移带来的过渡问题，例如长期未重新登录的账户是否仍停留在旧机制。第三，看 GitHub 是否把短时效令牌机制扩展到 Enterprise Server、命令行或 CI 场景，这会决定它对整个开发者认证体系的实际影响范围。
