# 安全

不要在公开 Issue 中粘贴密钥、登录令牌、数据库、认证地址或完整运行配置。安全问题请通过本仓库 GitHub 的私密漏洞报告入口提交；若入口未启用，先联系维护者建立私密沟通渠道。

插件安装会执行受信任包及其依赖的代码，管理器不是不可信代码沙箱。安装前确认来源和摘要。真实配置仅在运行时提供，发布包与镜像不包含用户配置。

`standalone` 模式下，同一安装中的用户共用一个身份。需要个人数据权限时使用 `authenticated`、明确选入认证插件，并由业务应用检查当前用户有权访问哪些数据。仅填写插件声明不会自动保护数据。auth 不替代官方控制台认证；对外开放控制台需要完整的代理访问控制。

升级、迁移和回退前应停止写入并保留一致备份。目标开始接收新数据后，回退必须再次停写并保护新增内容，不能直接指回旧副本。