https://x7peeps.com/%E5%AE%89%E5%85%A8/%E4%B8%80%E6%9D%A1fork-PR%E5%A6%82%E4%BD%95%E5%81%B7%E8%B5%B0CI%E5%AF%86%E9%92%A5workflow_run%E4%BF%A1%E4%BB%BB%E5%88%A4%E5%AE%9A/index.htmlGitHub Actions 里有一类设计，代码本身看不出问题，但组合起来就是一条完整的密钥外泄路径：第一个 workflow 在 PR 上跑，把结果打包成 artifact 上传；第二个 workflow 由 workflow_run 事件触发，在主仓库上下文里拿到密钥，再把 artifact 里的代码 checkout 出来执行。Hugozh-CN