针对开源仓库与包发布账号的接管，是供应链攻击里最省力的一条路径：不用投毒代码，只要拿到维护者的登录态或发布令牌，下一个正常发布的版本号里就可以夹带任何东西。本文从维护者视角讲清账号接管的常见入口、接管后的三种利用方式、个人开发者能落地的加固清单，以及作为使用方如何给自己的依赖装上哨卡。

带私钥或接口密钥的提交被推上公开仓库时，第一反应不该是删文件重推。按 GitHub 官方文档梳理处置顺序：先吊销、再排查暴露窗口、然后才决定要不要改写历史，以及改写为什么不能算处置本身。