安全策略
支持的版本
本仓库按语义化版本打标签（见 docs/release.md）。安全修复会回到当前受支持的发布线；kit 不单独发版。
如何报告漏洞
请不要在公开 issue 里报告安全问题。
通过 GitHub 私有漏洞报告，或向维护者发送私信 / 邮件（见仓库安全公告设置）。请包含：
- 受影响的路径或 kit
- 复现步骤
- 影响评估（本地 lint 误报通常不是安全漏洞）
范围
- 依赖中的远程代码执行、供应链篡改、密钥泄露：在范围内。
- 「lint 漏报了慢代码」或文档笔误：请用普通 issue / PR，不当作安全漏洞。
我们会确认收到，并在有修复或缓解方案时给出时间表。