针对开源仓库与包发布账号的接管，是供应链攻击里最省力的一条路径：不用投毒代码，只要拿到维护者的登录态或发布令牌，下一个正常发布的版本号里就可以夹带任何东西。本文从维护者视角讲清账号接管的常见入口、接管后的三种利用方式、个人开发者能落地的加固清单，以及作为使用方如何给自己的依赖装上哨卡。