正在加载源钥…
源钥的信任来自每一位用户的密码。我们为负责任的研究者提供赏金， 并且承诺：不会起诉善意研究者，不会在修复前公开漏洞细节。
支持 PGP 加密邮件（公钥见白皮书附录）· 响应时间承诺 1 个工作日内
金额按实际影响与利用难度评定，不按「报告数量」。首次报告且质量优秀者可获得额外加成。
承诺写在这里，是为了让我们自己也被约束。
我们确认收到并开始复现，分配内部编号与负责人。
给出初步影响评估、复现步骤确认与临时缓解建议。
严重级别 7 天内发布补丁，其余随下一个版本修复。
联合公开报告，或按报告人要求的时间安排。
提前说清楚边界，避免因为理解差异浪费彼此的时间。
每一份报告都附带复现步骤、影响分析与修复说明。披露不是公关行为，而是让所有用户都能从中受益。
扩展在特定域名匹配规则下可能泄露条目存在性
同步层在并发写入下可能返回过期的版本号
CLI 在错误提示中回显了被截断的主密码前缀
会话 cookie 未对子域设置 SameSite 导致跨站发送
安全响应团队工作时间为 UTC+8 周一至周五 10:00–19:00，紧急事件全天候响应。