本仓的取向是公开讨论。仅当内容包含可直接利用的细节时，才请走私密通道。

本仓以 main 当前 HEAD 为准，没有版本化发布线（未打 tag / release），因此不承诺「支持某个 1.x 线」。

已测矩阵（区间之外为未测，不构成承诺）：

含可直接利用细节的缺陷：请用 GitHub 私密漏洞报告通道 —— 仓库页 Security → Report a vulnerability。该通道内容仅维护者与安全管理员可见，便于先讨论、修复，必要时发布安全公告。

以下情况请走公开 issue：

• 非敏感缺陷、健壮性问题，以及不影响可利用性的设计讨论；
• 已在本仓公开面讨论过的问题；
• 无法使用私密通道时（例如没有 GitHub 账号）——请在公开 issue 里只写非敏感摘要，并注明希望私下补充细节。

请勿在公开 issue / PR 中粘贴可直接利用的攻击载荷（可复制的载荷、密钥外泄的具体路径与产物）。若已误发，请立即告知维护者。

尽力而为、无固定 SLA：本仓没有承诺的响应时限，也不保证一定修复。能承诺的是：

• 收到报告后会在本仓的常规值守节奏内先给一句回执（已收到、正在复核）；
• 复核结论会回到你的报告线程（私密报告则回到私密线程）；
• 判定为「不成立」时同样给出读数与理由，不静默丢弃。

• 先修复、后公开：修复进入 main 之前，请不要在公开面披露细节。
• 修复落地后，本仓按你的意愿致谢（默认致谢 GitHub 账号名；不愿被点名请在报告中说明）。
• 若本仓判定「不成立」，你可以自行公开报告与我们的判定读数。

• 提交形态与证据要求：README.md §「联系与贡献」。
• 审查口径：docs/PR审核细则_v0.1.md。

本仓是聚合仓。若缺陷本体在别的仓，请在那个仓按其自身安全政策提交；本仓只处理本仓自身的代码与文档面。