涉及账号接管、令牌泄漏、越权、任意文件访问等问题，请优先使用本仓库 Security → Report a vulnerability 私密报告。若该入口不可用，可以先开一个不包含漏洞细节的 issue，请维护者提供私密联系渠道。

请提供受影响的版本或提交、复现条件、影响范围，以及使用临时账户的最小复现。不要在公开 issue 中贴出密码、OAuth 客户端密钥、访问或刷新令牌、SMTP 凭据、用户数据库或未经处理的日志。

目前项目仍在开发，尚未承诺长期支持版本。安全修复优先进入主开发分支，发布时会说明影响范围和升级步骤。

如果凭据已经进入 Git 历史，需要撤销或轮换凭据；从当前文件中删除它不会使历史中的凭据失效。