项目处于 0.x 阶段，只维护最新发布版。

走 GitHub 私密渠道：Security → Advisories → Report a vulnerability。

不要开公开 issue 报安全问题。 收到报告后我们会在确认可复现后修复并发布 advisory；如需署名致谢请在报告里注明。

• 上传解包路径穿越（zip/tar 成员逃逸任务目录）
• local 形态鉴权绕过（Host 白名单 / Origin 检查 / loopback peer 闸）
• server 形态（TEXLATE_MODE=server）下 X-Texlate-Key 校验缺陷
• API key / BYOK 凭据泄漏（日志未脱敏、错误面回显、跨租户读）
• prompt/占位符注入导致的译文完整性破坏
• 依赖供应链问题（先查 deps-audit.yml 的周期扫描是否已捕获）

• 本机 loopback 服务对本机其他进程开放——local 形态的设计前提（多用户部署请用 TEXLATE_MODE=server + X-Texlate-Key）
• babeldoc sidecar 的自身缺陷——归上游 funstory-ai/BabelDOC
• 用户自备端点（TEXLATE_BASE_URL）的不可信行为