请使用对应仓库 Security → Advisories → Report a vulnerability 私下报告安全问题。不要在公开 Issue 或 Pull Request 中提交利用细节、凭据、客户数据、服务器地址、未脱敏日志或生产数据库内容。

报告应包含受影响版本、最小安全复现、影响范围、已知缓解方式，以及是否涉及资金、权限、身份或个人数据。

维护者确认前，请勿测试不属于你的生产系统。发现凭据泄露时应立即轮换凭据；删除 Git 文件并不能使已经公开的凭据重新安全。