请使用 GitHub 的私密安全通告。

不要在公开 Issue 中披露未修复的漏洞、利用细节、凭据或用户数据。

报告时请尽量提供：

• 受影响版本与部署方式；
• 复现步骤或最小样例；
• 影响范围；
• 建议修复方向。

• 默认只监听回环地址，由反向代理提供 HTTPS。
• 单管理员账户，密码使用 scrypt，Token 使用 SHA-256。
• 凭据来自环境变量或 0600 配置文件，不写入日志和页面。
• 所有文件路径经过受管根校验，拒绝绝对路径、.. 和符号链接逃逸。
• 封面下载只允许公网 http/https 地址，防止 SSRF。
• 写入有租约、备份、校验和回滚。
• 删除进入回收站，不直接 unlink。

• 不要把 8080 直接暴露到公网。
• 反向代理传 X-Forwarded-Proto，启用 HSTS。
• 使用强密码，定期轮换 API Token。
• data/ 和 config/ 按敏感数据保护，权限设为 0700 / 0600。
• 定期更新镜像和依赖。
• 不需要写入时设置 policy.write_enabled = false。
• 只读审计时使用 read_only = true 或 :ro 挂载。

• 用户曲库中已有恶意文件导致的解析问题，请同时报告给解析库。
• 反向代理、Docker、操作系统自身的漏洞。
• 因公开暴露端口、弱密码、泄露 Token 导致的入侵。
• 第三方来源的内容准确性。

• 单管理员模型，没有多用户权限隔离。
• 会话 Cookie 的 Secure 属性跟随请求协议；反向代理必须正确传递 X-Forwarded-Proto。
• 容器默认以 1000:1000 运行，文件权限由部署者负责。