本專案以「載入未封裝項目」的方式安裝，只維護 main 分支上的最新版本，安全修正不會回補到舊版。

請不要在公開的 Issue、Pull Request 或討論區揭露漏洞細節。

請擇一管道私下回報：

1. GitHub 私下回報（建議）：到本專案的 Security 分頁按 Report a vulnerability，或直接開啟私下回報表單。內容只有你和維護者看得到。
2. 電子郵件：無法使用 GitHub 時，寄到 yao921024@gmail.com，主旨開頭加上 [Security] Threadkeep。電子郵件不是端對端加密，信裡先簡述問題就好，細節等收到回覆後再提供。

回報時請盡量附上：

• 擴充功能版本、瀏覽器名稱與版本、作業系統
• 受影響的檔案或功能（例如 content.js 的擷取、控制面板的即時預覽、匯入解析）
• 重現步驟或概念驗證（PoC），例如觸發問題的貼文內容或匯入檔案
• 可能造成的影響，以及利用時需要的前提條件

重現時請用假的資料，不要附上真實的帳號、權杖或他人的個人資料。

本專案由個人維護，沒有漏洞獎勵，但會遵守以下時限：

1. 確認收到：回覆已收到，並說明初步評估。
2. 評估：確認是否屬於漏洞、影響範圍與嚴重程度，必要時向你詢問細節；不屬於漏洞時會說明原因。
3. 修正：在私下的 GitHub Security Advisory 中與你討論修正方式，你也可以在其中的私人分支提交修正；必要時會請你協助驗證。
4. 發布：把修正合併到 main、公開 Security Advisory，適用時透過 GitHub 申請 CVE 編號，並在 CHANGELOG.md 該版本的「安全性」段落記錄。
5. 致謝：你願意的話，會在 Advisory 中列名致謝。

修正發布前請不要公開漏洞細節。90 天內來不及修正時，會在期限前向你說明原因，並協商新的公開日期。

本擴充功能把資料存在瀏覽器本機（chrome.storage.local），沒有後端伺服器。

• 透過貼文內文、作者名稱、標籤或內嵌碼，在 Popup、控制面板或 Threads 頁面上執行非預期的腳本（XSS）
• 繞過即時預覽 postMessage 的來源驗證，或讓 iframe 載入非 Threads 官方網域的內容
• 經過特製的備份檔或貼上內容，在匯入時執行程式碼或破壞既有資料
• 讓已儲存的資料傳送到瀏覽器以外的地方
• 權限遭濫用，或 manifest.json 宣告的權限超出實際需要

• Threads、Instagram 或 Meta 平台本身的漏洞，請改向 Meta 漏洞獎勵計畫回報
• 需要攻擊者已能控制使用者電腦、瀏覽器設定檔，或已安裝其他惡意擴充功能才能利用的問題
• 使用者在自己的開發者工具主控台貼上程式碼造成的 self-XSS
• Google Fonts 等第三方服務本身的問題
• 沒有實際影響、僅屬強化建議的設定（可以改開一般 Issue 討論）