1
怎么报告
不要开公开 Issue。用 GitHub 的私密漏洞报告（Security → Report a vulnerability），或在邮件里写清版本、复现步骤与影响。
2
我们的时限
- 48 小时内给出第一次回应（是否受理、初步定级）。
- 30 天内给出修复或明确的缓解方案。
- 修复发布后，经你同意再公开细节；不愿具名会以匿名致谢。
3
范围
收银主程序、本地 HTTP 接口、打印服务、安装包与更新链路都在范围内。云端服务与商业版组件另有一套流程，请在同一渠道说明。
怎么确认发布物没被改过
1
安装包做代码签名，Windows 与 macOS 均可在系统里查看签名主体。
2
每个产物公布 SHA256，下载页与 Releases 页是同一份数据。
3
构建脚本在仓库里，可按同一版本自行复现构建后比对。
4
程序不联网校验、不上报门店数据；更新只在你点击时发起。
已知问题与已修复版本记录在 CHANGELOG 的安全小节，不在官网重复披露未修复细节。