请不要在公开 Issue 中披露可直接利用的安全漏洞。可通过 GitHub 仓库维护者主页提供的联系方式进行负责任披露，并说明受影响版本、复现步骤和影响范围。

• 导入配置不会自动启动任何项目，也不会解析网络共享、映射盘或设备路径的图标。导入条目的图标预览默认关闭，并通过 iconLookupAllowed 持久化；只有用户在编辑表单中明确启用后才会访问目标路径。
• 本地目标、工作目录和自定义图标只接受带盘符的本机绝对路径，例如 C:\Tools\App.exe；UNC、设备路径和无盘符根路径会被拒绝。
• 配置文件在读取时限制为 2 MB，导出使用同目录临时文件原子替换。
• 启动前请确认目标路径和参数可信。
• 仅导入来自可信来源的配置文件。
• 未签名的早期构建可能触发 Windows SmartScreen；正式分发应使用可信代码签名证书。

• 保持 Electron 与 Chromium 依赖更新。
• 发布前运行测试、生产构建和依赖审计。
• 检查提交和构建产物中没有本机配置、密钥、日志或私有可执行文件。
• 从经过审查的提交或标签构建发布包。
• 为发布文件生成并公布 SHA-256。