Объяснение
Зависимости и сборка входят в цепочку доверия. Lockfile повышает воспроизводимость, но не доказывает безопасность пакета. Секрет, попавший в историю Git, считается раскрытым даже после удаления из текущего файла.
Задача для самостоятельного решения
Что делать после публикации токена в commit?
Показать разбор ответа
Отозвать и заменить токен, проверить использование и убрать источник утечки. Переписывание истории не отменяет существующие копии.