动态Package.json

Question

我正在使用package.json中与GitHub有多个私有依赖关系的nodejs项目，如下所示：

"dependencies" : {
   "mymodule":"git+https://<token>:xoauthbasic@github.com/my_github_account/my_repo.git#<commit-ish>"
}

我有两个问题：

1. 为了安全起见，我不希望oAuth令牌与我的package.json文件分开。
2. 我希望我用于依赖的分支依赖于它所构建的环境。例如：在生产环境中，使用#master，在开发环境中，使用#development。

这些问题有什么解决方案吗？此外，如果解决方案适用于Heroku，那就太棒了。