当前只维护最新的 main 分支。历史版本不保证安全更新。

请不要在公开 Issue 里报告安全漏洞。

优先使用 GitHub 仓库的 Security → Report a vulnerability（私密安全公告）。如果仓库还没有启用该功能，请通过维护者的公开联系方式先发一条不含细节的消息，说明你发现了安全问题，约定后续私密沟通方式。

报告时请尽量提供：

• 影响版本 / 提交号；
• 复现步骤或最小 PoC；
• 影响范围（例如：本地服务、导出 HTML、Electron 壳）；
• 你期望的修复方式（可选）。

不要在报告里附带：

• 真实 API Key；
• 完整的用户解题记录；
• 含个人信息的题目截图；
• 你无权公开的第三方数据。

• 本地服务默认只监听 127.0.0.1，不要把它直接暴露到公网。
• 应用会把题目文本和图片发送到你配置的模型服务；请自行确认该服务的隐私政策。
• API Key 保存在本机用户目录，不会上传到何解自己的服务器（项目没有服务器）。
• 导出的单文件 HTML 包含题目、答案、解析和图形源码；分享前请确认其中没有敏感信息。
• 桌面版 Electron 目前使用 contextIsolation: false 且不加载远程页面；如果你要引入远程内容，请先重新评估隔离策略。

这是一个人维护的项目，响应时间可能不固定。我们会尽量在确认问题后给出修复计划；在修复发布前，请给维护者合理的处理时间，不要公开利用细节。