Trusted Publishing: Xoá bỏ Long-lived Token khi Publish Package

Thay vì lưu API token dài hạn của maintainer trong CI — thứ đã bị đánh cắp trong hầu hết vụ compromise chuỗi cung ứng package — registry tin vào một identity token ngắn hạn do chính CI provider phát hành cho đúng repo và workflow, đồng thời ghi lại provenance của bản build kèm artefact.