安全修复优先应用于最新主分支。演示配置仅用于本地体验，不应直接作为生产安全配置。

请优先使用 GitHub 仓库的 Security → Report a vulnerability 私下报告。请提供：

• 受影响版本或提交；
• 可复现步骤和影响；
• 已验证的缓解建议（如有）。

请勿在公开 Issue 中发布密钥、个人信息、真实题库、可直接利用的攻击细节或生产环境地址。

• 生产环境必须关闭开发身份回退并使用可信代理注入身份。
• 使用独立数据库账号、HTTPS、受控 CORS 和安全的音频存储目录。
• 模型密钥只通过环境变量或密钥管理服务提供。
• 上线前审计自定义题库，避免个人信息和无授权内容进入模型请求。