Security Policy 漏洞与凭据泄露的报告方式；不在这里披露细节。 报告 不要在公开 Issue 中粘贴密钥、客户数据或可利用细节。 通过仓库的私有安全通道联系维护者；没有通道时先开一个不含敏感信息的 Issue，说明「需要私下同步」。 范围 studio 是纯内存运行时：不读盘、不渲染、不联网。 主要风险是导入不可信配置导致的无限递归、原型污染或超大输入；发现后进入 fix/<主题> 分支修复并补回归测试。 发现凭据被写进配置或示例时，先轮换再修代码。