GitHub Actions工作流中的PyPI令牌泄露攻击

近期，攻击者利用GitHub Actions工作流窃取PyPI发布令牌。攻击者修改了众多代码库中的工作流，将存储在GitHub密钥中的PyPI令牌发送到外部服务器。虽然一些令牌被成功窃取，但攻击者似乎并未在PyPI上使用它们。所有受影响的令牌已被失效，并已通知受影响的项目维护者。建议使用GitHub Actions的Trusted Publishers来保护项目，以防止此类攻击。