安全说明

报告问题

安全问题请通过 GitHub 的私密报告渠道提交（仓库 Security 页的 "Report a vulnerability"），不要开公开 Issue。公开 Issue 会同时通知到所有关注者，包括不该知道细节的人。

本仓的范围

这是一个静态站点仓库：没有服务端、没有数据库、没有用户输入处理。因此通常意义上的注入、越权、会话类问题在这里不成立。

真正相关的是发布内容：

• site/ 下的任何文件都会公开上线，包括注释和 data-* 属性。
• 真实账号、主机名、内网地址、个人子域名、部署机路径出现在站点里，等同于公开。
• 构建脚本读取的环境变量不应在产物里留下取值。

不接受的

• 依赖链上的问题请直接报给上游，本仓没有运行时依赖。
• 社会工程、物理访问、对托管平台的拒绝服务不在范围内。

处理方式

确认后先私下沟通修复窗口，修复合并后再公开说明。修复前不会在公开 Issue 里描述细节。