漏洞报告

适用于： Alpha。

私下报告

可能泄露租户遥测、Session、Write Key、Source Map Artifact 或基础设施凭据的漏洞，不要提交公开 Issue。 优先使用仓库 Security Policy 或私有 Security Advisory，并提供：

• 受影响组件（Console、API、Ingest、SDK、Worker 或依赖）；
• OpenRUM Release 或 Commit SHA；
• 使用最小 Fixture 的复现步骤；
• 对机密性、完整性和可用性的影响；
• 是否包含 PoC。

不得粘贴生产事件、Session Cookie、Write Key 或客户数据。

严重性预期

能够导致跨租户访问、认证绕过、远程代码执行或持久数据丢失的关键/高危问题，应阻止生产上线， 直到修复或由实例安全负责人明确接受。信任边界见威胁模型。

安全披露

在修复进入 main 或补丁 Release 后协调披露。在运维人员获得合理升级窗口前，不公开利用细节。