请通过本仓库 GitHub Security 页面的 “Report a vulnerability” 私下报告漏洞（入口由 GitHub 仓库设置决定）。若该入口不可用，请使用维护者已公开的联系方式先说明需要私密报告，不要公开漏洞细节或凭据。

不要把可用令牌、cookie、用户数据、数据库或生产环境文件放进 Issue、PR、构建日志或附件。复现请使用临时账号、临时数据库与占位配置。

部署时在独立环境文件或凭据管理器中配置秘密，并限制文件权限。客户端应通过 HTTPS 连接；反向代理需覆盖真实 IP 头，且 SSE/Range 配置要与 deploy 模板一致。自托管通行密钥必须显式配置 CM_PASSKEY_ORIGINS，不能信任任意请求 Origin。

支持范围为 main 当前实现与最新发布版本；第三方音乐 API、LDDC 和其他服务的问题请同时核对上游修复。公开前的私有历史不会发布，生产数据与签名材料也不属于源码仓库。