如果你发现了安全漏洞，请不要在公开 issue 中报告。
请通过 GitHub 私密安全报告 提交，或发邮件至仓库所有者的 GitHub 私信。
请在报告中包含：
- 问题描述与影响范围
- 复现步骤 / PoC
- 你建议的修复方向（可选）
我们会在 72 小时内确认收到，并尽快修复。
| 版本 | 支持状态 |
|---|---|
| main / 最新 Release | ✅ |
| 更早版本 | ❌ |
- 所有数据（上传素材、对话、人设）本地存储，不经过任何第三方服务
JWT_SECRET在生产环境为必填项，缺失时服务拒绝启动（v1.0.0 起）- 密码使用 SHA256 哈希存储（计划升级为 bcrypt/argon2，欢迎 PR）