如果你发现了 CodeMUX 的安全漏洞，请不要通过公开的 Issue 报告。

请通过以下方式联系我们：

• 邮箱：949104778@qq.com
• GitHub Security Advisories：使用 GitHub 私密报告

请尽可能包含以下信息：

• 漏洞类型（如 XSS、注入、权限绕过等）
• 受影响的组件和版本
• 复现步骤
• 潜在影响评估
• 如有修复建议，请一并提供

• 确认收到：48 小时内
• 初步评估：7 个工作日内
• 修复发布：根据严重程度，目标在 30 天内

CodeMUX 作为桌面应用，有以下安全特性：

• 本地优先：所有数据存储在本地 SQLite 数据库，不上传到云端
• API Key 本地存储：AI 提供商的 API Key 存储在本地配置文件中
• Forge 凭据隔离：Gitee Personal Access Token 使用操作系统凭据存储，不写入普通配置文件、不传入前端日志
• Daemon 鉴权：业务权威在独立 daemon 进程；本机回环连接使用 Local Daemon Token，非回环请求需配对设备持有 Pairing Token，均可由用户撤销
• 无远程代码执行：应用不执行远程加载的代码
• Sidecar 进程隔离：Agent 运行在独立的 Node.js 子进程中

• 请妥善保管你的 API Key，不要分享给他人
• GitHub / GitLab 创建 PR 依赖本机 gh / glab 的登录状态；请确认 CLI 登录的是正确账号
• Gitee Token 需要具备创建 Pull Request 的权限，使用完成后可在设置中清除
• MCP 服务器配置中的 URL 和命令可能执行本地代码，请确认来源可信
• 安装第三方 Skills 前请检查其内容