目前维护 1.0.0 发布线。项目尚处于首版发行准备阶段，修复时会明确说明受影响版本、处理方式和验证范围。

GitHub 和 Gitee 均可联系维护者。使用所选平台已经启用的私密报告入口；GitHub 的“Security → Report a vulnerability”需维护者先启用。没有私密入口时，仅开不含细节的 Issue 请求私密联系方式，不公开凭据、数据库、完整网页语境或可利用载荷。

报告应提供受影响版本和平台、最小复现、预期与实际结果、资料归属，以及已清理的截图。不要发送真实用户数据库或生产 token；可以提供自建测试数据。维护者确认后会共同安排修复和披露，不承诺尚未建立的响应时限。

网页内容不可信，不能直接访问个人库或 Native 凭据。连接只通过受信 Native 来源、确认窗和严格 LMCP；断线时不写回独立库。邀请秘密与认证信息不进入通知、URL 或内容脚本。Markdown 不执行 HTML 或脚本；采集默认按规则脱敏，不能保证识别所有商业秘密。隐私与权限

第三方发音服务、浏览器和 OS 权限，以及分发渠道的风险需分别核验，不能因本地自动化通过便宣称全面安全。发布前须另检查历史提交、依赖许可和正式安装来源。

1.0.0 锁文件将 source-map-js 固定为 1.2.2，修复 GHSA-68fv-2mgg-jv7q / CVE-2026-93749。上游补丁限制 indexed source map 的 section 偏移，并修复嵌套来源查询、映射序列化和代码补行的资源放大问题。上游修复

该依赖通过 Vue 的 compiler-core、compiler-sfc 和 PostCSS 进入 npm 的生产依赖树；触发漏洞需要解析或重写攻击者提供的 source map。本版扩展使用 Vue runtime-only，模板在构建时编译，业务源码未导入 source-map 或 Vue 编译器。候选生产包的全部 JavaScript 与 ZIP 扫描未发现这些实现或 source map 文件；这限定了该漏洞对本版运行包的影响，不能代替对构建依赖和后续候选的检查。

发布前执行 npm audit --omit=dev，同时核验完整锁文件、实际构建字节和发行 ZIP。npm 的依赖分类不等同于扩展打包内容；审计零告警也不表示全面安全。构建输入、依赖或生产字节改变后，应重新检查并记录对应候选。