不要开公开 issue。 请用下面任一方式：

1. 仓库的 Security → Report a vulnerability（GitHub 私有漏洞报告，推荐）；
2. 如果无法使用上面功能，开一个不含细节的 issue 说明"需要私下联系"，我会提供后续渠道。

请在报告里包含：版本号（streampack --version）、复现步骤、影响范围。 我尽量在 7 天内回复；这是个人维护的项目，不承诺修复时限，但会告知进展。

这类问题请务必报告：

• 凭据处理：AppKey / SecretKey / access_token 的存储或泄漏
• 本地数据：~/.netdisk_uploader/ 下的文件被非授权读取或篡改
• 归档完整性：分卷校验可被绕过、解密可被降级
• 命令注入 / 路径穿越（尤其 --files、远端路径、脚本参数拼接）
• 更新与签名流程：trust-sign.ps1 的信任边界被突破

以下不属于安全漏洞，属于已知设计：

• 本地点对点自签名只对本机有效，不改变其他电脑的信任（见 README）
• 加密归档的盐由 task_id 派生（为保证续传可复现），因此同任务同口令的密文可复现
• 没有内置的自动更新

• 分发包未做代码签名（需要商业证书），首次运行会有 SmartScreen 提示； 本地自签名只解决"本机反复提示"，不解决分发信任。
• 口令不存储，仅存 PBKDF2 校验值；忘记口令无法恢复。