本文件是 GQYTeam 的组织级默认安全策略：仓库自带 SECURITY.md 时以仓库的为准。

不要开公开 issue。 请用受影响仓库的 GitHub 私密披露：

1. 打开该仓库 Security → Advisories → Report a vulnerability；
2. 或访问 https://github.com/GQYTeam/<仓库名>/security/advisories/new。

报告里写清：影响面、复现步骤、受影响版本、可能的修复方向。附最小复现片段或请求样本即可，不要附带真实密钥与用户数据。

• 7 天内确认收到并给出初判；
• 30 天内给出修复或缓解方案（视复杂度，可能分阶段）；
• 修复发布后在仓库 CHANGELOG.md 与安全公告里同步说明。

• 上游依赖（模型供应商、系统库）自身的已知漏洞，除非本仓库的用法放大了影响；
• 需要物理接触或本机已被攻陷的场景；
• 自建部署里用户自己改坏配置造成的问题。

• 不把密钥、令牌、.env、用户正文写进代码、测试夹具、日志或 issue。
• 日志只记录请求元信息（路径、状态码、耗时、trace id），不记录消息正文。