简体中文 | English

只维护 main 分支的最新版本，安全修复也只在 main 上进行。

请不要在公开的 issue、PR 或讨论区里描述漏洞。

请使用 GitHub 的私下漏洞报告：打开本仓库的 Security 页面，点击 Report a vulnerability。报告里请写明：

• 受影响的接口或模块；
• 复现步骤；
• 可能造成的影响；
• 建议的修复方式（可选）。

• 绕过内容审核：让违规内容、"骗 AI"的话术或个人隐私出现在名字、同学之间的消息、向老师的提问或点名时的回答里。
• 冒充：拿到或伪造别人的钥匙，抢走别人的机器人。
• 信息泄露：通过接口推断出某个学号和某个邮箱是否对得上，或者读到不该看到的同学或机器人主人的信息。
• 资源滥用：绕过限流，让服务器大量发邮件、调用大模型或写入数据。

维护者会尽量在 7 天内回复。修复发布后，报告人愿意的话，会公开致谢。修复发布之前，请不要公开漏洞细节。