安全修复优先进入 main 和最新 GitHub Release。旧版本可能不再单独修补；收到报告后，维护者会说明受影响版本和升级建议。

请使用仓库的 Security → Report a vulnerability，或直接打开：

https://github.com/rockythink/relyless/security/advisories/new

如果该入口不可用，可以创建一个不含利用细节、私人数据或凭据的普通 Issue，请维护者提供私下沟通方式。

报告尽量包含：

• 受影响版本或 commit；
• 问题类型和潜在影响；
• 最小复现步骤；
• 受影响的权限、数据或运行时边界；
• 已知缓解方式。

不要提交真实 API Key、令牌、账户信息、私人网页正文、完整 URL 或未经脱敏的诊断日志。需要样本时，请使用虚构数据或最小本地测试页。

• API Key、访问令牌或私人正文泄露；
• 未经授权的远程请求、持久记录或权限扩大；
• 跨网页、普通/无痕窗口或用户配置的数据隔离失效；
• Native Messaging 身份验证或命令边界绕过；
• 可由网页内容触发的扩展权限滥用、代码执行或敏感数据读取；
• Release 包或更新流程的供应链完整性问题。

一般功能错误、兼容性和无敏感影响的崩溃可以使用公开 Bug 模板。

维护者会先确认是否收到报告，再验证影响、准备修复并协调披露。未经双方同意，请不要在修复可用前公开利用细节。项目不会要求报告者提供真实凭据或私人阅读内容。