• 本应用直接运行在浏览器中。API Key 仅为本地便利保存，不是加密凭证托管；同源脚本和浏览器扩展仍可能读取它。
• 不把真实凭证放入源码、Vite 环境变量、Issue、截图、日志、PR 或测试样本。分享诊断时删除密钥、请求头值、私有地址和用户图片。
• AI 请求会把图片及指令发送给指定服务。图片测试也是可能计费的调用；停止请求不保证撤销远端处理或费用。
• 默认无公共代理。开发代理需要明确 HTTPS origin 白名单，不得对外开放；正式部署如需后端代理，应另行实现身份验证、限流与服务端凭证管理。
• 请保留原始素材并定期导出。浏览器存储可能因配额、用户清理或系统策略丢失；不能把 IndexedDB 当作唯一备份。
• npm run check:release 是启发式检查，不替代人工审阅、Git 历史扫描或专业安全评估。

报告疑似漏洞前，请使用仓库所有者提供的私密安全报告渠道（如果启用）。不要在公开 Issue 贴出实际密钥；如已泄漏，立即在服务商控制台撤销并更换。