正式仓库创建后，维护者应开启 GitHub Private vulnerability reporting；报告者优先使用仓库 Security → Report a vulnerability。仓库尚未建立或该入口未开启时，通过原私下邀请渠道联系维护者，不在公开 issue 粘贴漏洞利用细节或真实凭据。

报告请包含受影响版本、设备/系统、最小复现步骤与脱敏诊断。不要发送 API 密钥、内测码、连接令牌、SSH 私钥、APK 签名密钥或录音正文。

本地内测码仅用于界面功能分流，不是服务端认证，也不能防止 APK 逆向。公开版开发工具开关仅控制自己的客户端。云中继令牌需要独立保护与撤销；正式面向更多用户前须实现逐用户访问控制和配额。

若密钥已进入公开仓库，删除文件或改成配置项不能撤销泄漏。应先撤销/轮换凭据，再清理可访问历史、制品和日志，并更新受影响客户端。