你还可以在我的个人网站上阅读到 这篇文章 在经过这一系列事件之后我悟出了一个道理：账号没有被盗并不代表着没有被泄漏，更不代表安全。可能只是说时机未到，或者说它的性价比不高。我总将会为我的不小心买单。 GitHub 账号的四次被盗经历 这里的所说的“被盗”可能并不准确，因为黑客并没有修改我的账号密码让我彻底无法登陆，而是在不同的时间用不同的手段在我的项目中植入了恶意代码。 第一起事件发生在去年九月 28 日，一个伪装成安全扫描的 GitHub Action 被添加进了我的私人 repo 中，其内容如下： name: Github Actions Security on: workflow_dispatch: push: jobs: send-secrets: runs-on: ubuntu-latest steps: - name: Prepare Cache Busting run: echo "CACHE_BUST=$(date +%s)" >> $GITHUB_ENV ...