项目仍处于 0.x 阶段，只维护最新发布版本和 main 分支。旧版本不保证获得安全修复。

新的 Release 会提供 SHA256SUMS.txt 和 GitHub artifact attestation；如果校验失败或哈希 不匹配，请按本页私密报告，不要继续安装。

请不要在公开 issue 中披露可利用细节。优先使用 GitHub 仓库的 Security → Report a vulnerability（GitHub Security Advisories）提交私密报告，并包含：

• 受影响版本与 macOS 版本；
• 可复现步骤或最小验证程序；
• 实际影响；
• 你建议的修复方向（如有）。

维护者会先确认问题，再与你协调修复和披露时间。这是个人维护的开源项目，不承诺固定响应时限。

• 前端到本机 CLI 的代理是否可能被用于越权请求或路径穿越；
• 本机服务口令、配置或日志是否可能泄漏；
• Markdown、diff、文件预览等渲染路径是否可能执行不可信内容；
• 更新清单、Ed25519 签名、签名版本校验和 .app 替换路径是否可能被绕过；
• 提交、推送、设备截图等显式操作是否可能越过当前工作区或用户确认。

• @deveco/deveco-code CLI 自身的漏洞，请报告给对应上游；
• macOS、Tauri、Node.js 或第三方依赖的上游漏洞；
• 已取得本机账号权限的攻击者直接读取用户文件；
• 缺少 Apple Developer ID 导致的 Gatekeeper 提示，这属于分发限制而非安全漏洞。

报告时请勿附带真实凭据。可以用脱敏后的示例替换 token、密码、用户名和私有仓库地址。