У командной строки два разных сценария входа, и путать их дорого. Интерактивный - обычная команда входа, которая открывает браузер и сохраняет сессию: это для человека за терминалом. Программный - ключ, переданный флагом или переменной окружения: это для скриптов и непрерывной интеграции. Отдельно документирован токен для протокола взаимодействия с редакторами, а в окружении без графики помогает переменная, запрещающая открывать браузер, - иначе команда входа будет ждать браузер, которого там нет.

Наивная практика - задать ключ один раз на всё окружение и забыть. Она удобна ровно до того момента, когда в том же задании выполняется что-то ещё. А выполняется почти всегда: установка зависимостей, сборка, скрипты жизненного цикла пакетов. Всё это - код, управляемый репозиторием, и он читает окружение так же свободно, как ваш агент. Ключ, заданный на всё задание, доступен каждому шагу, включая тот, который добавили в зависимости на прошлой неделе и никто не читал.

Правильная форма - передавать ключ ровно тому процессу, которому он нужен. Ниже показано, как это выглядит: переменная задаётся перед конкретным вызовом и не живёт дольше него. Разница выглядит косметической, а на деле уменьшает радиус поражения при компрометации любого другого шага: секрет не лежит в общем окружении, где его может прочитать чужой скрипт.

Есть места, где ключ становится видимым помимо вашей воли, и их стоит знать поимённо. Значение, переданное флагом, попадает в строку запуска процесса, а список процессов на машине обычно доступен любому пользователю и часто пишется в логи сборки. Тот же флаг остаётся в истории команд оболочки, а история переживает сессию и уезжает в резервные копии. Поэтому переменную окружения перед вызовом предпочитают флагу, а сам ключ берут из хранилища секретов, а не подставляют руками. Это не про паранойю: перечисленные места существуют независимо от того, помните вы о них или нет.

Отдельный вопрос - где хранятся учётные данные при интерактивном входе. Командная строка умеет держать их в системном хранилище или в файле, и есть переменная, которая принудительно выбирает файловый вариант. На своей машине системное хранилище предпочтительнее: файл проще случайно скопировать вместе с домашним каталогом, унести в резервную копию или показать на экране. Файловый режим оставляют для сред, где системного хранилища просто нет, - например, для контейнера, у которого нет ни сессии пользователя, ни графики.