DevVault Pro 非常重视安全性。我们感谢安全研究人员和用户的负责任披露。

请不要公开创建 Issue 来报告安全漏洞。

请通过以下方式之一私下报告：

1. GitHub Security Advisories（推荐）：

   • 访问 https://github.com/dfhhvc/devvault-pro/security/advisories
   • 点击 "New draft security advisory"

2. 电子邮件：

   • 发送邮件至项目维护者
   • 主题格式：[SECURITY] 漏洞简要描述

请尽可能包含以下信息：

• 漏洞类型（如 XSS、CSRF、数据泄露等）
• 影响版本
• 复现步骤
• 概念验证代码（如有）
• 可能的修复建议
• 您的联系方式（用于后续沟通）

1. 确认收到：我们将在 48 小时内确认收到您的报告
2. 评估：我们将在 7 天内完成初步评估
3. 修复：根据严重程度，我们将在 30-90 天内提供修复
4. 披露：修复后，我们将：
   • 发布安全更新
   • 在 CHANGELOG 中记录
   • 公开致谢报告者（经您同意）

• 所有用户输入数据仅在浏览器本地处理
• 不发送任何数据到服务器
• 使用密码学安全的随机数生成
• 纯 JavaScript 实现，无 eval 或 innerHTML

以下情况不属于安全漏洞：

1. JWT 签名未验证：这是设计决策。JWT 签名验证需要发行方的密钥，本工具仅用于解码查看内容。
2. 客户端代码可见：作为纯前端应用，源代码必然可见。这不影响数据安全。
3. Service Worker 缓存：首次加载需要网络，之后可离线使用。

感谢您帮助维护 DevVault Pro 的安全性！