Security Policy 漏洞与凭据泄露的报告方式；不在这里披露细节。 报告 不要在公开 Issue 中粘贴密钥、客户数据或可利用细节。 通过仓库的私有安全通道联系维护者；没有通道时先开一个不含敏感信息的 Issue，说明「需要私下同步」。 范围 本包自身不读盘写盘；调用方命令可能读取项目配置与文件，路径校验与写入范围由调用方负责。 主要风险是路径穿越、覆盖非预期文件、把凭据写进配置或产物。 发现泄露先轮换凭据，再修代码；修复进入 fix/<主题> 分支。