一句话：发现安全问题怎么报、哪些版本收修、本仓的安全边界在哪。

请不要开公开 Issue 报告安全问题。 用 GitHub 的 「Security → Report a vulnerability」提私有报告，或直接联系维护者。

报告里请写清：

• 受影响的文件 / 端点
• 复现步骤
• 影响面（谁能做什么）
• 你建议的修法（如果有）

• 本仓是一个纯前端 + 路由器端 CGI 的控制台。浏览器侧不保存任何凭据； 会话 sid 走查询参数 + localStorage，存在被同机其他程序读到的风险 —— 这是 LAN 内 HTTPS 场景下的折中，不要把它部署到 WAN。
• 路由器端的 deploy/modern-* 是 root 权限的 CGI：能改 UCI 配置、装包、刷固件、重启。 它们只在路由器本地提供服务，不监听 WAN。部署后请确认没有把 /cgi-bin/ 暴露到外网。
• 危险动作（改密码、恢复出厂、刷固件、重载服务）需要一次性令牌（120 秒、单次使用）+ 确认词。 令牌机制挡的是误触，不是攻击者 —— 拿到 root shell 的人不需要令牌。
• deploy/modern-proxy 读 mihomo secret 时只在路由器本地读，不返回浏览器。

本仓不存放任何凭据。 所有密钥、token、口令一律走环境变量， 真值留在你自己的设备或密码管理器里。位置索引见 docs/SECRETS.md。

如果你在任何地方看到明文凭据（包括历史记录、示例配置、日志）， 请当作缺陷报上来 —— 不要在公开 Issue 里贴出凭据本身。