工作流输入会显示在运行页面上，任何能查看仓库Actions运行记录的人都能看到token直到过期，因此token被设计为短时效和窄范围。