Security Policy 漏洞与凭据泄露的报告方式；不在这里披露细节。 报告 不要在公开 Issue 中粘贴密钥、客户数据或可利用细节。 通过仓库的私有安全通道联系维护者；没有通道时先开一个不含敏感信息的 Issue，说明「需要私下同步」。 包含：受影响版本、最小复现、影响面、建议修复方向。 范围 core 是离线构建的 token 引擎，不发起网络请求。 主要风险是 seed / theme 中写入凭据或内部信息，以及产物被手改后与源不一致。 发现泄露先轮换凭据，再修代码；修复进入 fix/<主题> 分支。