适用范围：本仓库的 Jev 求职助手 版本。上游作者不是本版的反馈接收人。

如果本仓库启用了 GitHub 私密漏洞报告，请在 Security → Report a vulnerability 提交。若尚未启用，可先开一个不包含漏洞细节或个人信息的 Issue，申请私密沟通渠道；不要附带可利用的凭据或真实求职资料。

请说明受影响版本、问题类别、触发条件和可能影响。复现尽量使用虚构数据。不要上传 API Key、Cookie、完整配置备份、真实简历或原始聊天 / 网络抓包。

• API Key 保存在用户的本地扩展配置中，没有应用层加密保险箱。
• 页面来源日志可以被同源脚本读取；凭据脱敏不代表自由文本已匿名。
• 本版支持用户配置模型服务，因此申请 HTTP / HTTPS 主机权限；它并不提供恶意页面隔离保证。
• 数据存储、请求与清理方法见 PRIVACY.md。

若有效凭据已经暴露，先在供应商侧撤销或轮换，再处理已公开的文件与提交历史。仅删除当前文件无法移除已有提交中的内容。