# 安全说明（Security）

## 安全边界声明

本插件**没有独立的安全边界**：它的全部功能就是把用户输入框中的草稿文本发送到用户自己配置的 LLM 提供商以生成优化文本。请阅读 README「隐私与限制」一节。

## 隐私模型

- 草稿文本经 DSH 宿主转发至你配置的模型提供商（这是功能本质，等同你手动发送一条消息）。
- 插件本身不采集遥测、不发起任何额外网络请求、不读取会话历史/附件。
- 由于“优化”发生在草稿发送前，草稿不会被提交到当前会话历史。

## 漏洞报告

若发现安全问题（例如代码执行、凭据泄漏、意外外传数据等），**请勿**在公开 Issue 中披露。

- 首选：使用 GitHub 仓库的 **私有漏洞报告**（Security → Report a vulnerability）。
- 备选：向维护者邮箱私下报告（见仓库主页维护者信息）。

我们承诺：确认后 7 天内回应，修复完成后公开发布安全公告。

## 供应链

- 唯一运行时依赖 `zod`（MIT），版本经 package.json 锁定（示例 `4.6.5`）。
- 锁文件经 DSH 插件管理器的 supply-chain 策略校验后在安装阶段使用。