# 安全策略

## 报告漏洞

如果你发现 `oh-my-taiyiforge` 的安全漏洞，**请不要开公开 Issue**，避免在修复前被利用。

### 私下披露渠道

请通过 **GitHub Security Advisories** 私下报告：

- 访问 https://github.com/Dong90/oh-my-taiyiforge/security/advisories/new
- GitHub 会全程加密，只有维护者能看到
- 提交后维护者会在 advisory 下与你讨论细节

如果你无法访问 GitHub，可在公开 Issue 留下「我发现一个安全问题，请联系我」的简短信息（**不要披露漏洞细节**），维护者会通过 GitHub 私信回复。

### 报告内容

请尽量包含：

- 漏洞类型（如：命令注入、路径遍历、依赖漏洞、postinstall 副作用、token 泄露等）
- 受影响的版本范围
- 复现步骤（最小复现样例最佳）
- 潜在影响（哪些用户会受影响、能造成什么后果）
- 你建议的修复方向（可选）

## 响应时间

| 阶段 | 目标时间 |
|------|----------|
| 收到报告并确认 | 3 个工作日内 |
| 初步评估严重性 | 7 个工作日内 |
| 发布修复版本（高/严重） | 30 个工作日内 |
| 公开披露（致谢报告者） | 修复发布后 |

时间会根据漏洞复杂度调整。我们会全程与你保持沟通。

## 致谢

修复发布后，我们会在 CHANGELOG 致谢报告者（除非你希望匿名）。

## 受支持版本

| 版本 | 安全更新 |
|------|---------|
| `0.23.x` | ✅ 当前支持 |
| `0.22.x` | ⚠️ 仅高危漏洞 |
| `< 0.22` | ❌ 不再支持，请升级 |

## 不在范围内

以下问题**不构成**安全漏洞，请走普通 Issue 流程：

- `postinstall.mjs` 自动写入 `~/.cursor/`、`~/.claude/` 等目录（这是文档说明的预期行为，可通过 `TAIYI_FORGE_SKIP_POSTINSTALL=1` 跳过）
- 已公开发布的依赖包漏洞（请用 `npm audit` 检查，并向上游报告）
- 用户自己 fork 后引入的修改
