当前仅维护最新的 1.4.x 版本。安全修复会进入最新补丁版本；早期实验版本不再接收修复。

请不要公开披露可利用细节、真实聊天内容或凭据。优先通过 GitHub 仓库的 Private vulnerability reporting 提交；若该入口不可用，请联系仓库维护者并仅提供最小复现信息。

报告应包含受影响版本、攻击前提、影响范围、复现步骤和建议修复。维护者确认前不要测试不属于你的服务器、QQ 账号或群聊。

Candela 默认用于受控部署，不是直接暴露到公网的多租户服务。部署者必须：

• 使用 HTTPS 反向代理，仅公开 Web Console 所需端口；
• 设置高熵 CANDELA_CONSOLE_SESSION_SECRET 和 CANDELA_RUNTIME_API_TOKEN；
• 设置 OneBot Access/Event Token，并限制来源网络；
• 首次管理员建立后移除引导密码变量；
• 限制 .env、data/、日志和备份的文件权限；
• 在处理真实群聊前取得授权并建立删除、导出和保留流程。

仓库不含真实数据。若你发现 Git 历史、Issue、Release 或构建产物中存在凭据或个人数据，请按漏洞处理并立即报告。

接受的安全问题包括认证或角色绕过、跨群数据泄露、SQL 注入、持久型 XSS、CSRF、令牌绕过、路径泄露、恶意 OneBot 事件导致的未授权行为，以及公开制品中的秘密或个人数据。

模型回答质量、提示词偏好和仅影响本地开发环境的崩溃通常不属于安全漏洞，但仍可作为普通 Issue 报告。