# 安全

## API Key 处理

- 浏览器端永远不会接触明文 Command Code API Key。
- 凭据写入通过 DSH credentials 服务完成；未挂载 credentials 服务时 UI 为只读。
- Host 侧解析顺序为：`config.apiKey` → `ctx.credentials` → 启动环境变量 → 官方 CLI `auth.json`。
- 仓库中不提交真实 Key、Token 或个人账户数据；示例数据均为占位符。

## 报告安全问题

请通过仓库的 Security Advisory 或维护者联系方式私下报告，不要公开提交敏感信息。