公开项目默认支持最新发布版本。安全修复优先进入默认分支，再由维护者手动发布。

不要在公开 issue 中提交密钥、凭证、私有 URL、客户数据、私有源码、日志、数据库导出或生产配置。

请通过仓库维护者指定的私有渠道报告安全问题，并只提供定位问题所需的最小上下文。

本项目关注：

• 初始化器写入了不应写入的私有内容；
• 脱敏检查遗漏明显敏感模式；
• 生成的 adapter 削弱了 workflow 硬闸门；
• 文档引导用户执行不安全的自动远程操作。

不在范围内：

• 用户手动改坏生成文件后的误用；
• 目标团队自己的业务代码缺陷；
• 目标团队工具或插件本身的漏洞；
• 未经授权上传到 issue、PR 或讨论区的私有数据。

发布或分享前必须运行：

npm run check
npm run build:release
node bin/check-sanitized.cjs --extra-banned <private-denylist-file>

private-denylist-file 必须放在 starter kit 外部，不要提交到仓库。