一句话：发现安全问题怎么报、哪些版本收修、本仓的安全边界在哪。

请不要开公开 Issue 报告安全问题。 用 GitHub 的 「Security → Report a vulnerability」提私有报告，或直接联系维护者。

报告里请写清：

• 受影响的文件 / 端点
• 复现步骤
• 影响面（谁能做什么）
• 你建议的修法（如果有）

• 本仓不接触任何凭据明文：所有 key / token 一律从环境变量读。 脚本里如果出现字面量 key，那是缺陷，请报上来。
• 探测脚本会向供应商网关发真实请求。探测有速率限制，请遵守 docs/MAINTENANCE.md 里的间隔要求 —— 打爆账号池会连累你正常用。
• 探测会用 宿主生效请求体（含思考参数，规则合并语义见 providers/workbuddy/effective_body.js）。这是本仓能测准的唯一原因， 但也意味着探测本身会消耗额度。
• workbuddy_probe.py 会写 workbuddy/cache/ 下的缓存（已被 gitignore）。 缓存里有账号池状态，不要提交。

本仓不存放任何凭据。 所有密钥、token、口令一律走环境变量， 真值留在你自己的设备或密码管理器里。位置索引见 docs/SECRETS.md。

如果你在任何地方看到明文凭据（包括历史记录、示例配置、日志）， 请当作缺陷报上来 —— 不要在公开 Issue 里贴出凭据本身。