本项目本身就是做「安全 / 脱敏」代码审查的，安全底线从仓库自身做起。

仓库尚未发布首个 tag。发布后在此维护支持矩阵。

• 尚在本地开发阶段：直接在开发会话中指出，或通过本仓库的 issue（发布到 GitHub 后）。
• 发布到 GitHub 后：优先使用 GitHub Security Advisory 私密报告，避免在公开 issue 中提前暴露漏洞细节。
• 报告请包含：复现步骤、受影响版本、期望行为 vs 实际行为、建议修复。

1. 零敏感原则：本项目开源；插件/引擎代码不得硬编码任何特定平台、账号、密钥（详见 README 与 CONTRIBUTING）。
2. 敏感文件红线：.env、密钥、凭据、PII 一律不得提交（.gitignore 已拦截，git add 前自查）。
3. 评审报告含被审代码内容：为运行时产物，默认不入库（reports/ 已忽略）。