请不要在公开 Issue 中披露可利用的安全问题、账号凭据、签名 URL 或用户数据。

优先通过 GitHub Security Advisories 私下报告， 并提供受影响版本、环境、最小复现步骤和影响范围。维护者会在确认后更新修复状态；不要把真实的小米账号、 验证码、token 或生产数据库作为复现材料。

HMusic 是自托管软件。部署者仍需负责反向代理、HTTPS、服务器防火墙、备份、依赖更新和第三方音源账号的 权限管理。客户端日志不应包含密码、会话凭据或完整签名音频地址。