Security Policy 漏洞与凭据泄露的报告方式；不在这里披露细节。 报告 不要在公开 Issue 中粘贴密钥、客户数据或可利用细节。 通过仓库的私有安全通道联系维护者；没有通道时先开一个不含敏感信息的 Issue，说明「需要私下同步」。 包含：受影响版本、最小复现、影响面、建议修复方向。 范围 checks 是离线检测工具，不发起网络请求。 主要风险是配置或规则里写入内部路径、凭据，以及产物被手改后与源不一致。 发现泄露先轮换凭据，再修代码；修复进入 fix/<主题> 分支。