请通过 GitHub 的私密安全报告功能提交漏洞，不要在公开 Issue 中粘贴密钥、内部路径、未公开品牌素材或可复现凭据。

报告至少包含：受影响版本、最小复现步骤、预期与实际行为、潜在影响。请对 API key、cookie、token、账号和客户素材进行脱敏。

安全修复优先覆盖默认分支和最新发布版本。历史实验运行、用户自行修改的上游 vendor 文件以及未受支持的系统环境不承诺补丁时限。

• 工具默认不需要入行365账号或云端密钥。
• .env*、runs/、渲染文件和缓存默认被 Git 忽略。
• 外部视频和未验证背景音乐默认关闭。
• URL 校验和素材审计是纵深防御，不替代操作系统隔离、依赖审计或人工权利审核。