Phone Micro 只公布私有 IPv4 局域网地址，并拒绝来自公网地址的请求。设备通过短时配对码或两分钟有效、一次性二维码票据获取随机设备令牌；浏览器状态修改请求还必须携带 CSRF 值。控制请求有限速，Codex 桥接不兼容时控制功能默认关闭。

项目没有云端中继、遥测、账户密码收集或 OpenAI API Key 输入。回环 CDP 端点不会绑定到局域网；本地日志限制大小并脱敏令牌类内容。

请通过 GitHub 仓库 Security 页面中的私密漏洞报告功能提交安全问题，不要先公开披露。