# 安全策略 / Security Policy

## 支持范围

| 版本 | 状态 |
|---|---|
| 0.4.x | 接收安全修复 |
| 0.3.x 及更早 | 仅用于旧 DSH 环境，不再接收常规安全修复 |

## 私下报告漏洞

请使用 GitHub 的 [Private vulnerability reporting](https://github.com/huanghai-lab/dsh-custom-instructions/security/advisories/new)，不要在公开 Issue 中披露漏洞、私人指令、导出包、访问令牌或真实路径。

报告中请包含：

- 受影响的插件、DSH、Node.js 和操作系统版本；
- 最小复现步骤与影响范围；
- 已做脱敏的日志或示例文件；
- 你认为可行的缓解方式（可选）。

维护者会尽量在 3 个工作日内确认收到，并在验证后同步修复计划。披露时间会与报告者协调。

## Security

Supported security fixes target 0.4.x. Report vulnerabilities through [GitHub private vulnerability reporting](https://github.com/huanghai-lab/dsh-custom-instructions/security/advisories/new). Do not include private instructions, exports, tokens, or unredacted paths in public issues.