English

不要开公开 issue。 用 GitHub 的 私密漏洞报告。

这些是设计约束，不是待修的 bug：

• 不写源文件。 转码输出永远走 unique_out() 到独立目录，同名加序号。没有任何代码路径覆盖输入。
• 不联网。 没有 telemetry、没有更新检查、没有崩溃上报。ffprobe 和 ffmpeg 都是本地子进程。
• 不执行输入文件里的任何东西。 输入只作为 -i 的参数传给 ffmpeg，不参与 shell。
• 不永久删除。 没有「转换完删源文件」，以后也不会加。
• 不自带编解码器。 ffmpeg 由你安装，本项目不分发，所以也不为它的漏洞负责。

• ffmpeg / ffprobe — 由你安装，版本自选。解析不可信文件时，建议只把文件当数据喂进去，不要在 存有敏感数据的机器上批量处理来源不明的文件。
• PySide6 — 只在界面层用，不参与音频处理。

唯一处理不可信输入的地方是 probe()：它把文件路径交给 ffprobe，参数以列表形式传递（不过 shell）。 路径里的引号和空格不会造成命令注入 —— 但输出目录要你自己确认，界面默认是源文件目录下的 converted。