请不要在公开 Issue 中披露尚未修复的漏洞、真实用户数据、OpenID、访问令牌或复现所需的密钥。

请使用 GitHub 的私密漏洞报告提交问题，并尽量提供：受影响版本、复现步骤、影响范围和已做的安全处理。维护者会在 GitHub Security Advisory 中继续沟通。

当前维护范围为最新发布版本。自行修改的云数据库权限、云函数环境变量、第三方 AI/OCR 服务和微信公众平台配置不属于源码漏洞，但若默认文档会诱导出不安全配置，也欢迎私密报告。

如果真实凭证曾进入 Git 历史，应先在对应平台轮换或吊销，再从干净源码重新发布；仅追加一个“删除密钥”的提交不能消除历史泄露。