请不要在公开 Issue 中提交可利用的漏洞细节、密钥、用户简历或原始日志。 在 GitHub 仓库的 Security → Advisories → Report a vulnerability 中提交私密报告； 若私密报告入口不可用，请先在 Issue 中仅说明“希望私下报告安全问题”，等待维护者 提供私密渠道，不要附上漏洞细节。
请说明影响版本、使用方式（本地／托管）、虚构数据复现步骤和预期行为。 维护者不能承诺固定响应时间或不存在未知漏洞。
本地启动器是单用户回环服务，不是多用户服务器；不得将其公开到网络。 托管部署必须启用身份认证、数据库用户隔离、HTTPS 和请求来源检查。 不要因调试而移除权限、身份或隔离边界。用户输入和外部网页均是不可信内容， 不能把提示词当成服务器的安全边界。
上线前扫描当前源码和将被公开的全部 Git 历史；若发现真实密钥，先撤销或轮换， 再清理记录。扫描通过不等于绝对安全。
本次将 Tailwind CSS 从 3.4.19 升级至 4.3.3，并使用同版本的
@tailwindcss/postcss 构建适配器，移除旧版受影响的间接依赖链。
npm audit --json 的完整依赖检查为 0 项告警；不是通过忽略开发依赖、
关闭检查或设置例外来隐藏原来的 7 项告警。
该结果只代表此日期、当前锁文件和 npm 公告数据库的检查结果，不保证没有未知漏洞， 也不代表已经对整个 Python 后端、部署或模型调用完成全面安全审计。
样式构建迁移保留原主题变量和旧样式的优先级，按官方规则迁移阴影和可访问性轮廓 类名。新版要求较新的浏览器（Chrome / Edge 111+、Firefox 128+、Safari 16.4+）； 旧系统的内嵌浏览器与桌面包需要另行验收，本次不发布桌面安装包，不部署线上服务。
网页运行依赖的 npm audit --omit=dev 为 0 项；完整工具链仍有 7 项告警
（5 high、2 moderate），来源为 Tailwind 3 构建链的 braces 和选择器解析器。
测试工具 Vitest 已更新到 4.1.12，原 critical 告警已消除。
公开输入不应被当作构建配置、文件匹配表达式或 CSS 源码执行。当前启动器在打开 本地网页前只构建仓库内源码，不提供远程编译服务；不要运行陌生分支的构建脚本。 这只是当前使用路径的风险限制，不表示漏洞已修复。迁移 Tailwind 4 是后续独立任务， 不得为清空告警而未经验证强制升级整个界面工具链。本节保留当时的结论， 当前处理状态以上文 2026-10-19 记录为准。