安全修复优先应用于最新发布版本。旧版本用户应先升级并保留数据库与加密主密钥备份。

请使用 GitHub 仓库的 Private vulnerability reporting / Security Advisory 私下报告。不要在公开 Issue、截图或聊天记录中提供以下内容：

• 微信 AppSecret、access token 或客户端令牌；
• 管理员密码、会话 Cookie 或真实草稿内容；
• 可直接访问的临时图片 URL；
• 服务器公网 IP、日志中的认证头或数据库文件。

报告中请提供受影响版本、复现步骤、实际影响和建议修复方式。维护者确认前请勿公开漏洞细节。

管理员可生成 60 秒有效且只能兑换一次的配对验证码。服务端只在内存中保存验证码摘要，并对失败兑换按来源 IP 限流；重启服务会使所有未兑换验证码失效。兑换后签发统一客户端令牌，数据库只保存令牌摘要。重新配对或修改密码会撤销旧令牌。HTTP 环境允许兑换以满足个人部署，但验证码和令牌会明文传输，只应在可信网络使用；公网服务应配置 HTTPS。