只对最新 Release 提供安全修复。旧版本请先升级再报告。

请勿在 Issue 或任何公开渠道披露漏洞细节。

使用 GitHub 的私密报告渠道：仓库页面 → Security 标签 → Report a vulnerability。 （若该入口不可用，可以在 Issue 里只写「有安全问题需要私密沟通」，不要附细节，维护者会主动联系。）

报告里请包含：受影响版本、复现步骤、影响范围（例如能否导致任意文件写入 / 权限提升）。

• 不进行任何网络通信，不上传录音、日志或设备信息
• 只读写：程序所在目录（settings.json、Recordings\、RecLite.log）、以及 %TEMP%\RecLite\<版本号>\ 下的解包库文件
• 不写注册表、不写 AppData
• 录音需要访问音频设备与麦克风权限

程序未购买代码签名证书，首次运行时 Windows 会提示「未知发布者」。这属于预期行为，不是安全事件；可右键 exe → 属性 → 勾选「解除锁定」后再运行。