GitHub收紧npm发布机制以应对仓库标识劫持漏洞

GitHub将把未验证的npm trusted publishing配置在创建48小时后自动过期，首次成功发布后才会完成验证并绑定仓库的永久身份。GitHub还将拒绝来自GitHub Actions issue_comment事件的trusted publishing tokens，并保留pull_request_target限制，以降低仓库改名或转移后信任被继承的风险。