专题：trusted-publishing

GitHub针对新型开源供应链攻击推出系统性防护方案，涵盖CodeQL安全检测、工作流触发限制、第三方Actions哈希固定等措施。通过与OpenSSF合作实现跨包仓库的可信发布机制，采用OpenID Connect令牌替代敏感信息，有效阻断恶意软件包扩散路径。文章披露了GitHub在npm安全加固方面的具体规划，强调安全机制与开源社区协作的重要性。