优先使用 GitHub 的私密漏洞报告入口；无法使用该入口时发送至 ranzevor@gmail.com。

报告范围包括规范中可能导致安全缺陷的要求、离线检查工具的漏洞、敏感信息泄露和安全检查错误放行。请通过上述私密渠道发送敏感报告；公开 Issue 中不要包含真实凭据、客户数据、可识别个人信息或尚未披露的漏洞利用细节。

报告请包含受影响版本、文件或条款、问题描述、隔离环境中的复现步骤、预期与实际结果、影响范围及必要证据。复现材料使用合成数据，并删除与问题无关的秘密。

维护者接收报告后核实影响范围，记录问题、修复和回归结果，并与报告者协调披露。涉及凭据或个人数据泄露时，先控制传播范围，再处理撤销、替换与通知。

规范和工具的支持范围见维护政策。