背景
cloneBareAtomic 将原始 repoUrl（可能含 https://token:x@github.com/...）直接传给 execFileSync。虽然日志已 sanitize，但原始 URL 通过进程参数暴露在 /proc/PID/cmdline 中。
需求
- clone 前先 sanitize URL，改用 git credential helper 或
GIT_ASKPASS 环境变量传递认证信息
- 或在 bare clone 完成后立即用
sanitizeRepoUrl 更新 remote URL
背景
cloneBareAtomic将原始repoUrl（可能含https://token:x@github.com/...）直接传给execFileSync。虽然日志已 sanitize，但原始 URL 通过进程参数暴露在/proc/PID/cmdline中。需求
GIT_ASKPASS环境变量传递认证信息sanitizeRepoUrl更新 remote URL