Auth Service 负责签发和刷新访问令牌。请不要通过公开 Issue、Discussion、Pull Request 或日志粘贴访问令牌、客户端密钥、私钥、验证码、数据库连接串等敏感信息。
安全修复面向默认分支 main 的最新代码。若仓库发布了正式版本，维护者会在对应安全公告中说明受影响和已修复的版本；旧提交或非官方分支不承诺单独维护。
- 打开仓库的 Security 页面，选择 Report a vulnerability，通过 GitHub Private Vulnerability Reporting 提交私密报告。
- 如果仓库暂未开放该入口，请通过仓库所有者的 GitHub 个人资料中公开的联系方式，请求建立私密沟通渠道；不要在公开 Issue 中披露漏洞细节。
- 报告中请尽量包含：
- 受影响的版本、提交或部署方式；
- 漏洞类型、影响范围和前置条件；
- 最小可复现步骤或概念验证；
- 已知缓解方式；
- 是否已向第三方披露。
请仅在自己拥有或被授权的环境中验证漏洞，避免访问他人数据、破坏可用性或扩大影响。
维护者会先确认报告是否可复现和是否属于本项目范围，再协调修复、测试与披露时间。确认漏洞后，将优先通过私有分支准备修复，并在合理的安全窗口内发布安全公告。具体响应时间取决于影响和维护者可用性，本项目不承诺固定 SLA。
在修复公开前，请为维护者保留合理的协调披露时间。贡献者如需为漏洞提交补丁，请先在私密报告中沟通，避免公开 PR 提前暴露问题。
一般功能缺陷、文档错误、依赖升级建议和无敏感信息的稳定性问题，请使用普通 Issue 模板报告。若无法判断，请优先选择私密报告。