Почему не стоит слепо верить Trusted Publishing
Это тот же сюжет, что и в LWN: William Woodruff отдельно разбирает доверие между CI/CD workflow и package registry. Главная мысль — сам механизм «trusted publishing» не отменяет рискованную цепочку поставки, а лишь переносит точку, где надо думать головой, чуть выше по стеку.