面板是一个持有 Proxmox 集群高权限凭据的管理端：它的 API Token 基本等价于集群 管理权限。所以安全问题请走私下渠道，不要开公开 issue。

1. 推荐：仓库页 Security → Report a vulnerability（GitHub 私密漏洞上报， 只有维护者能看到，修复发布后再转成公开 advisory）。
2. 用不了私密上报时，按 README「联系与反馈」里的方式私下联系维护者。

报告里请尽量包含：

• 受影响的版本（git rev-parse --short HEAD，或页面上的版本号）与部署方式；
• 复现步骤，在你自己的环境里做过的最小复现；
• 影响面：能读到什么 / 改到什么（例如「任意登录用户可读到他人归属的机器」）；
• Proxmox VE 版本、是否多连接（多台 PVE）、是否开了二次确认 / 两步验证。

请不要在报告里附带真实的生产 Token、口令或客户数据；需要演示时用一次性凭据。

• 尽力在 72 小时内给出第一次回应（确认收到 + 初步判断）；
• 确认为漏洞后：先在私有分支修复、必要时发 advisory，再公布细节；
• 修复版会写进 CHANGELOG.md，并在 Release 说明里注明安全修复。

在范围内（欢迎报）：

• 认证与会话：登录、刷新令牌、两步验证、二次确认（step-up）绕过、会话固定；
• 授权与隔离：越权访问他人归属的机器 / 任务 / 集成配置，权限判断缺失的接口；
• 注入类：命令注入（含 SSH 通道与客户机内执行）、SQL 注入、SSRF（面板发往 PVE 的请求）；
• 凭据保护：.env / 库内密文的泄露路径，日志或接口回包里带出 Token、口令、SMTP 凭据；
• 审计缺失：写操作没有留下可追溯的记录。

不在范围内：

• Proxmox VE 自身的漏洞 —— 请报给 Proxmox 官方；
• 需要「先把配置改坏」才能触发的问题，例如把 FORWARDED_ALLOW_IPS 放宽成 0.0.0.0 从而绕过 FORCE_HTTPS（README「七、安全说明」已说明该风险）、把面板直接暴露在公网 且不开 HTTPS；
• 你自己部署里弱口令、Token 权限过大、未打补丁等运维问题；
• 缺少「最佳实践」类的加固建议（欢迎开普通 issue 讨论）。

只在你自己拥有或已获授权的机器与集群上测试；不要扫描、爆破或用自动化工具打 别人的实例。测试时请用一次性 VM / 容器，避免影响生产负载。