如果发现可能泄露账号、跨租户数据、密钥、文件或允许越权执行的问题，请先通过 官方联系入口联系维护者，说明希望私下报告安全问题。 不要在公开 Issue、PR、截图或日志中发布真实客户数据、连接串、密码、Token、利用载荷或可直接访问的私有地址。
私下报告请包含：受影响的平台与工具版本、部署方式、匿名化的最小复现步骤、 预期与实际行为、所需账号权限、影响范围及日志时间。可以使用自建的合成数据， 不需要导出客户库或提供生产凭据。结果未知时先保留原始记录，不重复执行可能产生副作用的操作。
维护者核对影响版本、复现条件与修复范围后，分别记录源码回归、发行版本、目标环境回读与披露状态。 未约定固定响应时限或奖励；通过联系页提交不等于问题已确认、修复或目标系统已升级。 公开公告应在必要修复与协调后披露，并保留影响范围和升级方法。
公开测试方法和范围见适配与安全证据 与官网安全说明。源码扫描、离线回归和公共 CI 不能替代独立渗透测试、第三方认证或特定部署验收；请以实际版本与运行记录判断。