安全修复优先应用于 main 和最新发布版本。历史版本不保证单独回补。

请不要通过公开 Issue 披露尚未修复的漏洞。优先使用 GitHub 仓库的 Private vulnerability reporting， 或发送邮件至 ddcat666@126.com。

报告中请包含受影响版本、复现步骤、影响范围和可行的缓解建议。请勿访问、下载或修改不属于你的数据，也不要对公开实例进行持续压测。

维护者会尽快确认收到报告，在验证影响后同步修复进度。漏洞修复公开前，请为项目和用户保留合理的修复窗口。

• 生产环境必须使用 HTTPS，并将 CANVAS_CORS_ORIGINS 设置为明确的前端 Origin。
• 首个管理员应在服务暴露公网前完成注册，公开注册默认保持关闭。
• 数据目录、PostgreSQL/SQLite、备份和 .settings-key 必须限制为服务账号可读。
• 系统模型渠道和 OSS 使用最小权限密钥，并设置供应商侧预算与告警。
• 不要将 .env、数据库、日志、备份或真实密钥提交到 Git。