梨网通会把校园网账号密码写进 Windows 凭据管理器，并且会向校内认证网关自动提交这些凭据，所以它对「凭据会不会泄露」这件事比普通小工具敏感一些。有问题请提前私下说，别直接开公开 Issue。

算是漏洞的情况：

• 凭据以明文形式落到磁盘、日志或者网络请求里（config.json 和 campus_login.log 都不该出现密码；日志里的用户名是打了码的）
• 能够远程触发代码执行，比如认证接口返回的内容被拼进命令、路径或者界面回调里
• 以非预期方式修改注册表启动项、删除用户文件、绕过单实例锁造成凭据被错误进程读取
• 会让账号在学校侧被异常处置（反复登录、绕过并发限制）的设计缺陷

不算漏洞（属已知取舍或环境问题，直接开普通 Issue 就行）：

• 程序没有代码签名，SmartScreen 拦一下
• PyInstaller 产物被杀软误报
• 用管理员身份运行导致数据目录跑到别的账户下面
• 用户自己把 config.json 拷给别人

优先用 GitHub 的私密漏洞报告：仓库首页 → Security → Report a vulnerability（右侧 "Private vulnerability reporting"）。

如果你更习惯开 Issue，请在标题里只写「安全问题，见正文之前先私聊」，正文不要包含可被直接利用的细节，我看到之后会把 Issue 转成私下沟通。

麻烦尽量带上这些信息，能省很多来回：

• 受影响的版本（安装包文件名里的版本号）
• 漏洞描述和影响范围
• 复现步骤，或者相关代码位置（src/campus_login.py 的行号）
• 相关日志片段，账号请打码

个人项目，没有 SLA，但只要看到，一般几天内会回复。确认存在的问题会在新版本里修，并在 CHANGELOG.md 里说明；是否公开写 advisory 由报告者决定，我不会在未沟通的情况下公开细节。

• 学校是否允许使用第三方客户端登录，责任在使用者自己
• 与 Dr.COM（城市热点）无任何关系，不是官方客户端
• 本程序按 MIT 提供，没有任何担保