# 安全问题报告

[English](SECURITY.en.md)

请不要在公开 Issue、评论或 PR 中提交漏洞利用细节、密钥、私钥、真实用户数据或完整诊断包。

## 如何私密报告

打开仓库的 [Security Advisories](https://github.com/ccch1mneyyy/dsh-go/security/advisories) 页面：

- 如果有 **Report a vulnerability**，使用该入口发送私密报告。
- 如果没有该入口，请先开一个只询问“如何私密联系维护者”的 Issue，等待私密联系方式。不要在该 Issue 中描述漏洞细节、附上复现数据或公布受影响的部署地址。

`SECURITY.md` 文件本身不会启用 GitHub 的私密漏洞报告功能。报告前请确认进入的是私密报告表单。

## 报告中包含什么

- App 版本、构建号、相关引擎或插件版本；源码问题注明提交。
- Android 版本、ABI，以及本机、SSH 或 DSH Remote 连接方式。
- 问题影响、触发条件和最小复现步骤。
- 使用虚构内容、测试账号或合成夹具的复现材料，以及必要的脱敏日志。
- 已验证和未验证的范围；若已检查其他版本，写明结果。

不需要提供真实 API Key、SSH 私钥、登录令牌或能访问私人对话的分享链接。如果自己的凭据已经泄漏，应先到对应服务撤销或更换。

## 范围与测试边界

可报告 App、Dart 通信包、内置桥接、运行时补丁及本仓库配套服务中的安全问题，例如凭据暴露、越权文件访问、审批绕过、未授权手机操作或分享访问控制问题。第三方依赖的问题请同时注明组件和固定版本。

只在自己的设备、账号、数据和获授权的环境中复现。不要为验证问题访问他人的内容、执行破坏性操作或影响线上服务。本政策不授予测试第三方服务的权限。

本机引擎可以执行工具和加载插件；“在手机上运行”不代表模型请求不离开设备。权限、模型数据和使用统计说明见[用户指南](docs/guide/README.md)。

## 处理与披露

在私密渠道中沟通复现、影响和修复验证，再与维护者协调公开时间。报告请注明受影响版本；此处不设固定响应时限、修复期限、赏金或长期版本支持承诺。