安全修复面向 npm 上最新发布的 minor 版本。旧 minor 与未发布分支可能要求先升级后验证。项目处于 0.x 阶段，安全修复可以随最新 minor 发布。

请勿在公开 Issue、Discussion 或 Pull Request 中披露尚未修复的漏洞。发送邮件至 dev@easecation.net，标题以 [Security][easecation-design] 开头，并尽量包含：

• 受影响的包版本、组件和运行环境；
• 最小复现、攻击前提与影响范围；
• 已知缓解方案或建议修复；
• 是否计划公开披露及期望时间。

不要发送真实 Token、Cookie、账号、私有域名或客户数据。需要共享敏感附件时，先通过邮件协商安全传输方式。

维护者目标是在 5 个工作日内确认收到报告，并在 10 个工作日内提供初步评估。修复时间取决于严重性与发布风险；在修复可用前，请与维护者协调披露时间。确认问题后会在发布说明中致谢报告者，除非报告者希望匿名。

仅依赖应用自身业务逻辑、私有后端或误用公开 API 的问题不属于本仓库漏洞，但仍可私下报告以协助判断。