Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

User token stops working 8 hours after /github connect (classic OAuth App)

Đang mở
  • Có gì không ổn?
#1,069 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
52/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github, go
Lĩnh vực
authentication, backend

Hướng nghiên cứu

Start with the OAuth flow and token storage around server/plugin/plugin.go, then inspect server/plugin/graphql/client.go and the existing mm_34646_token_refresh.go reset path. Confirm whether GitHub returns expires_in and refresh_token for this OAuth flow, then reproduce the failure and identify the point where refresh handling and tests should be added. Done means expiring tokens are refreshed before the next GitHub call, revoked-token behavior remains covered, and relevant tests pass.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

On our self-hosted Mattermost, the token the plugin gets from /github connect stops working about 8 hours later. From then on every GitHub call returns 401 Bad credentials, and the next morning the daily reminder triggers the “Your Github account was disconnected due to an invalid or revoked authorization token” DM.

Environment
  • Mattermost Team Edition 11.11.1 (since upgraded to 12.0.0)
  • GitHub plugin 2.6.0
  • A classic OAuth App owned by our organization, not a GitHub App. Its settings page has no token expiration option.
  • One connected user, a bot account
Timing
Connect (UTC) First 401 (UTC) Lifetime
13 Oct 07:29:36 13 Oct 15:30:11 8h 00m
14 Oct 07:58:04 14 Oct 16:15:51 8h 17m
15 Oct 06:20:15 15 Oct 14:31:47 8h 11m
16 Oct 08:33:43 16 Oct 16:35:11 8h 01m

Connect times come from the account’s security log (oauth_access.create), 401 times from the plugin’s Failed to search for the sidebar data errors. The 401 appears at the first plugin call after the 8 hours, which explains the extra minutes.

What we ruled out
  • The MM-34646 reset in mm_34646_token_refresh.go. It skips users who connected through /github connect, since those get MM34646ResetTokenDone: true, and its Updated user access token for MM-34646 debug line never appears in our logs.
  • Revocation. The security log has no oauth_authorization.destroy, password change or 2FA change. It does have an oauth_access.regenerate by “GitHub System” within a second of every oauth_access.create, but that also happens for an unrelated integration (Copilot), so it looks like part of normal token issuance.
  • Mattermost itself. No restart or plugin configuration change around the first failure.
Suggestion

Eight hours is the lifetime of GitHub’s expiring user tokens. If GitHub now issues those to OAuth Apps too, the plugin needs to keep the refresh token and refresh on expiry. Today it wraps the stored token in oauth2.StaticTokenSource (server/plugin/plugin.go, server/plugin/graphql/client.go), so it never refreshes. We inferred the 8 hours from the timings above and haven’t inspected the token response for expires_in or refresh_token. Can anyone confirm whether GitHub changed this for classic OAuth Apps?

Ngôn ngữ chính
Go
Star
181
Fork
180
Merge trung bình
21 giờ 4 phút
Pull request đã merge (30 ngày)
4

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của mattermost/mattermost-plugin-github

Tất cả issue của mattermost/mattermost-plugin-github

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.