本仓库是公开教程仓库。请始终假设 Issue、Pull Request、Commit、Actions 日志和附件会被任何人长期查看。

• API Key、访问令牌、Cookie、密码或认证请求头；
• 含密钥的 .env、YAML、JSON、Shell 历史和客户端配置；
• 用户邮箱、手机号、订单号、IP、内部域名和私人对话；
• 未脱敏的服务端原始错误或完整网络抓包；
• 任何内部供应商、内部渠道、内部路由或非公开字段。

如果已经误传：

1. 立即撤销并轮换相关 Key；
2. 不要只删除最新 Commit——Git 历史、Fork 和缓存可能仍保留内容；
3. 使用 GitHub 的敏感数据清理流程处理历史；
4. 检查账户调用记录和异常消耗；
5. 再私下通知维护者。

优先在仓库的 Security 页面使用 Report a vulnerability 私密报告功能。若该入口暂不可用，请先通过维护者的 GitHub 主页建立联系，不要在公开 Issue 中粘贴复现密钥、私人日志或漏洞细节。

报告中可包含：

• 受影响文件和行号；
• 风险类型与可能影响；
• 已完全脱敏的最小复现；
• 建议修复方式；
• 是否已有密钥或隐私数据暴露。

本仓库不会指导用户：

• 绕过客户端许可、认证或安全限制；
• 关闭全部 Agent 审批并授予不必要的系统权限；
• 在公网暴露无认证的聊天、工作流或数据库服务；
• 将服务端 Key 放进公开网页代码；
• 通过修改客户端内部数据库强行启用未公开功能。

配置 AI 编程代理时，请先在临时目录中测试，并为文件写入、命令执行和网络访问保留最小权限审批。