最小权限原则包括：限定令牌范围（只读或限定单仓库）、设置过期时间、优先使用OAuth和应用专用密码而非主密码、2FA和支付留在人手里。