该仓库是应用脚手架，安全修复只合入当前默认分支。历史版本、已分叉项目及使用者自行修改的部署不提供持续安全维护；使用者应及时同步上游修复并保持依赖更新。

请不要在公开 Issue、讨论区、提交信息或 Pull Request 中披露未修复漏洞。

优先通过仓库的 Security → Advisories → New draft security advisory 私下报告。如果该入口不可用，请通过仓库维护者公开资料中提供的私密联系方式联系，并仅发送建立安全沟通所需的最少信息。

报告建议包含：

• 受影响的版本、提交或配置；
• 可复现步骤及最小复现；
• 实际影响、攻击前提和建议严重程度；
• 已验证的缓解或修复建议（如有）。

请勿在未经授权的系统或真实用户数据上测试。维护者会尽快确认收到报告、评估影响，并在修复发布后协调公开披露；具体响应时间取决于项目维护能力。

• 不要把密钥放入 VITE_* 环境变量；它们会打包到客户端。
• 在生产环境启用 HTTPS，并确认反向代理/CDN 正确配置 HSTS、安全响应头和可信转发头。
• 定期检查 Dependabot、OSV Scanner 和锁文件更新结果。
• 使用受支持的 Node.js 与 pnpm 版本，并以非 root 用户运行容器。

根 package.json 中的 pnpm.overrides 仅用于把存在已知漏洞的传递依赖提升到同一 major 内的已修复版本， 不得用它跨 major 强制替换不兼容依赖，也不得以删除 override 的方式规避 OSV 门禁。

当上游父依赖已经声明安全版本下限后，可以逐项删除对应 override。删除前后都应使用 pnpm why -r <package> 确认依赖路径，重新生成锁文件，并依次通过生产依赖审计、完整 OSV 扫描和 pnpm verify。