动态包.json

Question

我正在开发一个 nodejs 项目，它在 GitHub 中有多个私有依赖项package.json，如下所示：

"dependencies" : {
   "mymodule":"git+https://<token>:xoauthbasic@github.com/my_github_account/my_repo.git#<commit-ish>"
}

我在这里有两个问题：

1. package.json为了安全起见，我不希望将 oAuth 令牌与我的文件分开。
2. 我希望我用于依赖项的分支依赖于它内置的环境。例如：在生产环境中，使用 #master，在开发环境中，使用 #development。

这些问题有什么解决办法吗？此外，如果解决方案适用于 Heroku，那就太好了。