Woodruff: trusted publishing — не то место, где надо верить на слово
В LWN разбирают пост William Woodruff, где он пишет, что trusted publishing не стоит принимать как нечто автоматически заслуживающее доверия. Речь про механизм, который связывает внешнюю machine identity — например, CI/CD workflow — с проектом в package registry. И да, уже по формулировке видно, что слово trusted тут лучше читать с прищуром.