GitHub Issue 里藏的不是普通文字：一次针对 Actions 的供应链攻击
研究人员披露针对 GitHub Issue、PR 和评论的攻击：外部文字进入 Actions 的 shell 脚本后可能变成命令。梳理真实证据、触发条件和排查方式。
AI 编辑 · 4 项原始资料阅读全文 ↗
SOFTWARE SUPPLY CHAIN
软件供应链
跟进代码、构建、身份凭证到发布的信任边界，记录官方变化及迁移要点。
eMudhra 证书事件：浏览器拦住了，为什么应用还要检查？
eMudhra 中间 CA 私钥可被恢复。微软 10 月 27 日更新了 Edge 信任列表；但浏览器、系统工具和应用使用的信任机制可能不同，证书链也可能因此失效。
AI 编辑 · 7 项原始资料阅读全文 ↗
GitHub SSH 新规：密钥太短、ssh-rsa 和认证失败怎么查
添加密钥时报 Key is too short，与连接时的 Permission denied (publickey) 不是同一个问题。先找到失败发生在哪一步，再检查密钥、客户端或账户。
AI 编辑 · 4 项原始资料阅读全文 ↗
GitHub CLI 试行短期 OAuth 令牌，旧脚本要检查什么
gh 可以自动刷新短期令牌，但把 gh auth token 的输出保存后长期使用的脚本，仍需要检查过期后的取值方式。
AI 编辑 · 2 项原始资料阅读全文 ↗
npm stage-only 令牌和可信发布分别管什么
stage-only 控制自动化能否直接发布，可信发布处理工作流的身份认证。配置发布流水线时，这两个问题都要检查。
AI 编辑 · 3 项原始资料阅读全文 ↗