安全政策

支持范围

本项目是一个 Agent Skill（Markdown 指令 + 一个零依赖 Node 脚本），不包含服务端、不收集数据、不上传任何信息。

边界	说明
无凭据	本仓库不包含也不要求任何 API Key、Cookie、卖家账号密码。`scripts/ads_opt.mjs` 只做本地算术与两个公开只读接口调用。
无网络写操作	脚本不发送广告变更、不修改任何账户状态。所有写操作由使用者（或其 Agent）通过官方渠道自行确认执行。
无数据外传	分析全部在本地完成，输入的报表文件不会离开本机。
只读数据源	脚本访问的两个外部端点是公开只读的：亚马逊官方自动补全接口（`completion.amazon.*`）。

如果你发现安全问题（例如脚本存在命令注入、路径穿越、意外的网络请求），请不要开公开 Issue，改为通过仓库的 Security → Report a vulnerability 私密上报，或发送邮件给维护者。

请在报告中包含：复现步骤、影响范围、建议修复方式。